Ransomware
Cómo detectar ransomware en la red
Detectar ransomware en la red significa sorprender el ataque en los pasos previos al cifrado del primer archivo. El atacante tiene que llegar primero a una máquina, contactar con su propio servidor, encontrar los servidores de archivos y las copias de seguridad, desplazarse hasta ellos y, en la mayoría de los ataques actuales, copiar datos hacia fuera para tener una segunda amenaza. Cada uno de esos pasos cruza la red y deja un patrón: conexiones regulares con un servidor externo, un equipo que escanea muchos otros, sesiones de administrador nuevas, una gran subida de datos de noche. El cifrado es el último paso, y el que la red ve peor.
El dato que conviene tener presente
En el aviso conjunto AA24-131A, publicado por primera vez el 10 de mayo de 2024, CISA, el FBI y agencias asociadas informaron de que los afiliados de Black Basta habían afectado a más de 500 organizaciones en todo el mundo, aplicaban un modelo de doble extorsión que cifra los sistemas y exfiltra datos, y usaban RClone para exfiltrar datos antes del cifrado.
Señales en la red, en el orden en que suelen aparecer
Ninguna demuestra por sí sola un ransomware. Vistas en este orden, o juntas, merecen una investigación ese mismo día.
01Un servidor externo nuevo, contactado a intervalos regulares
Un puesto de trabajo empieza a conectarse a un destino que nadie más usa, cada pocos minutos, de día y de noche. Suele ser el canal de mando y control del atacante o una herramienta de acceso remoto que nadie aprobó.
02Un equipo que escanea la red interna
La máquina comprometida sondea los rangos internos en busca de puertos SMB (445), RDP (3389) y de bases de datos abiertos, para encontrar servidores de archivos, copias de seguridad y controladores de dominio.
03Sesiones de administrador nuevas hacia muchos servidores
Sesiones remotas por SMB, RDP o WinRM desde un puesto de trabajo hacia servidores que nunca ha usado, a menudo fuera del horario laboral, muestran que el atacante se acerca a los datos.
04Una gran subida antes de que se cifre nada
Copiar datos a un almacenamiento en la nube, con herramientas como RClone, aparece como un volumen saliente inusual desde un servidor que normalmente envía poco, a menudo de noche.
05Lecturas y reescrituras masivas en recursos compartidos
Cuando empieza el cifrado, un cliente lee y reescribe grandes cantidades de datos en los recursos compartidos de red en poco tiempo. En ese momento, lo primero es contener.
Correspondencia con MITRE ATT&CK
Los nombres e identificadores de las técnicas son de MITRE. La última columna indica la categoría de detección de NetSenX a la que pertenece ese tráfico; no significa que se detecte cada variante de la técnica.
| Técnica | Cómo se ve en la red | Detección de NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Un equipo que se conecta en poco tiempo a muchas direcciones internas en puertos SMB, RDP o de bases de datos. | Escaneo |
| T1021.002 Remote Services: SMB/Windows Admin SharesLateral Movement | Un puesto de trabajo que abre sesiones SMB con recursos administrativos en servidores que nunca ha usado. | Movimiento lateral |
| T1071 Application Layer ProtocolCommand and Control | Conexiones pequeñas y regulares a un mismo destino externo por HTTPS, de día y de noche. | Beaconing de C2 |
| T1567.002 Exfiltration Over Web Service: Exfiltration to Cloud StorageExfiltration | Un servidor que sube a un servicio de almacenamiento en la nube muchos más datos de lo habitual. | Volumen de datos saliente inusual |
| T1486 Data Encrypted for ImpactImpact | El cifrado se ejecuta en los equipos. Cuando alcanza recursos compartidos, un cliente lee y reescribe grandes volúmenes por SMB. | Sin detección específica: NetSenX vigila los pasos previos |
Qué hace NetSenX hoy
- Detecta escaneos, movimiento lateral, beaconing de C2 y volúmenes de datos salientes inusuales a partir del comportamiento en la red, en todos los planes, incluido Free.
- Explica cada alerta en lenguaje claro, con las características de red que determinaron su puntuación, para que un equipo pequeño distinga una intrusión de una nueva tarea de copia de seguridad.
- Indica en la alerta la técnica de MITRE ATT&CK cuando una detección corresponde a una, y muestra en una vista de cobertura qué técnicas cubren sus detecciones activas.
- Controla los plazos del artículo 23 de NIS2 si un incidente resulta significativo y prepara para su DPD la notificación de brecha del artículo 33 del RGPD.
Qué no hace NetSenX
NetSenX no detiene el cifrado en un equipo, no restaura archivos y no tiene una detección específica para el paso de cifrado en sí: eso corresponde a la protección de endpoints (EDR) y a las copias de seguridad sin conexión. Solo ve los segmentos que usted monitoriza y nunca descifra el tráfico. Un ataque que empieza y acaba en una sola máquina deja poco que ver a la red, y una alerta es un motivo para investigar, no la prueba de un ransomware.
Preguntas de los compradores
¿Cuáles son las primeras señales de ransomware en una red?
Conexiones regulares de un puesto de trabajo a un servidor externo nuevo, un equipo que escanea rangos internos en busca de puertos SMB, RDP o de bases de datos, sesiones de administrador nuevas hacia muchos servidores y una gran subida a la nube desde un servidor que normalmente envía poco. Suelen aparecer en ese orden, antes de que se cifre ningún archivo.
¿Puede la monitorización de red detectar ransomware antes del cifrado?
A menudo sí, porque los pasos previos al cifrado cruzan la red: conexiones de mando y control, escaneos, movimiento lateral y robo de datos. Es la ventana en la que todavía se puede detener un ataque. No todos los ataques muestran todos esos pasos, y uno limitado a una sola máquina deja poco que ver a la red.
¿NetSenX detiene el ransomware?
No. NetSenX avisa del comportamiento de red que suele preceder al ransomware, para que su equipo actúe mientras hay tiempo. Aislar equipos, expulsar al atacante y restaurar los datos siguen siendo tarea de su equipo, de su protección de endpoints y de sus copias de seguridad.
¿Qué hacer primero si vemos estas señales?
Desconectar de la red los equipos afectados, conservar sus registros, restablecer las credenciales usadas en ellos y llamar a su proveedor de respuesta a incidentes. Si su organización está en el ámbito de NIS2, el plazo de 24 horas para la alerta temprana empieza cuando tiene conocimiento de un incidente significativo.
Fuentes
- CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024
- MITRE ATT&CK — Data Encrypted for Impact (T1486)
- Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.
Páginas relacionadas
Pruebe NetSenX en su propia red
Empiece con el plan Free para un máximo de 3 dispositivos o reserve una demo de 20 minutos.