# Cómo detectar ransomware en la red

> Las señales en la red que preceden al cifrado del ransomware, asociadas a MITRE ATT&CK, y lo que la detección de red puede y no puede hacer.

Source page: https://netsenx.com/es/detect-ransomware-on-the-network

Última revisión: 7 de noviembre de 2026

Detectar ransomware en la red significa sorprender el ataque en los pasos previos al cifrado del primer archivo. El atacante tiene que llegar primero a una máquina, contactar con su propio servidor, encontrar los servidores de archivos y las copias de seguridad, desplazarse hasta ellos y, en la mayoría de los ataques actuales, copiar datos hacia fuera para tener una segunda amenaza. Cada uno de esos pasos cruza la red y deja un patrón: conexiones regulares con un servidor externo, un equipo que escanea muchos otros, sesiones de administrador nuevas, una gran subida de datos de noche. El cifrado es el último paso, y el que la red ve peor.

## El dato que conviene tener presente

En el aviso conjunto AA24-131A, publicado por primera vez el 10 de mayo de 2024, CISA, el FBI y agencias asociadas informaron de que los afiliados de Black Basta habían afectado a más de 500 organizaciones en todo el mundo, aplicaban un modelo de doble extorsión que cifra los sistemas y exfiltra datos, y usaban RClone para exfiltrar datos antes del cifrado.

Fuente: [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)

## Señales en la red, en el orden en que suelen aparecer

Ninguna demuestra por sí sola un ransomware. Vistas en este orden, o juntas, merecen una investigación ese mismo día.

1. **Un servidor externo nuevo, contactado a intervalos regulares** Un puesto de trabajo empieza a conectarse a un destino que nadie más usa, cada pocos minutos, de día y de noche. Suele ser el canal de mando y control del atacante o una herramienta de acceso remoto que nadie aprobó.
2. **Un equipo que escanea la red interna** La máquina comprometida sondea los rangos internos en busca de puertos SMB (445), RDP (3389) y de bases de datos abiertos, para encontrar servidores de archivos, copias de seguridad y controladores de dominio.
3. **Sesiones de administrador nuevas hacia muchos servidores** Sesiones remotas por SMB, RDP o WinRM desde un puesto de trabajo hacia servidores que nunca ha usado, a menudo fuera del horario laboral, muestran que el atacante se acerca a los datos.
4. **Una gran subida antes de que se cifre nada** Copiar datos a un almacenamiento en la nube, con herramientas como RClone, aparece como un volumen saliente inusual desde un servidor que normalmente envía poco, a menudo de noche.
5. **Lecturas y reescrituras masivas en recursos compartidos** Cuando empieza el cifrado, un cliente lee y reescribe grandes cantidades de datos en los recursos compartidos de red en poco tiempo. En ese momento, lo primero es contener.

## Correspondencia con MITRE ATT&CK

Los nombres e identificadores de las técnicas son de MITRE. La última columna indica la categoría de detección de NetSenX a la que pertenece ese tráfico; no significa que se detecte cada variante de la técnica.

| Técnica | Cómo se ve en la red | Detección de NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Un equipo que se conecta en poco tiempo a muchas direcciones internas en puertos SMB, RDP o de bases de datos. | Escaneo |
| [T1021.002](https://attack.mitre.org/techniques/T1021/002/) Remote Services: SMB/Windows Admin Shares (Lateral Movement) | Un puesto de trabajo que abre sesiones SMB con recursos administrativos en servidores que nunca ha usado. | Movimiento lateral |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Conexiones pequeñas y regulares a un mismo destino externo por HTTPS, de día y de noche. | Beaconing de C2 |
| [T1567.002](https://attack.mitre.org/techniques/T1567/002/) Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration) | Un servidor que sube a un servicio de almacenamiento en la nube muchos más datos de lo habitual. | Volumen de datos saliente inusual |
| [T1486](https://attack.mitre.org/techniques/T1486/) Data Encrypted for Impact (Impact) | El cifrado se ejecuta en los equipos. Cuando alcanza recursos compartidos, un cliente lee y reescribe grandes volúmenes por SMB. | Sin detección específica: NetSenX vigila los pasos previos |

## Qué hace NetSenX hoy

- Detecta escaneos, movimiento lateral, beaconing de C2 y volúmenes de datos salientes inusuales a partir del comportamiento en la red, en todos los planes, incluido Free.
- Explica cada alerta en lenguaje claro, con las características de red que determinaron su puntuación, para que un equipo pequeño distinga una intrusión de una nueva tarea de copia de seguridad.
- Indica en la alerta la técnica de MITRE ATT&CK cuando una detección corresponde a una, y muestra en una vista de cobertura qué técnicas cubren sus detecciones activas.
- Controla los plazos del artículo 23 de NIS2 si un incidente resulta significativo y prepara para su DPD la notificación de brecha del artículo 33 del RGPD.

## Qué no hace NetSenX

NetSenX no detiene el cifrado en un equipo, no restaura archivos y no tiene una detección específica para el paso de cifrado en sí: eso corresponde a la protección de endpoints (EDR) y a las copias de seguridad sin conexión. Solo ve los segmentos que usted monitoriza y nunca descifra el tráfico. Un ataque que empieza y acaba en una sola máquina deja poco que ver a la red, y una alerta es un motivo para investigar, no la prueba de un ransomware.

## Preguntas de los compradores

### ¿Cuáles son las primeras señales de ransomware en una red?

Conexiones regulares de un puesto de trabajo a un servidor externo nuevo, un equipo que escanea rangos internos en busca de puertos SMB, RDP o de bases de datos, sesiones de administrador nuevas hacia muchos servidores y una gran subida a la nube desde un servidor que normalmente envía poco. Suelen aparecer en ese orden, antes de que se cifre ningún archivo.

### ¿Puede la monitorización de red detectar ransomware antes del cifrado?

A menudo sí, porque los pasos previos al cifrado cruzan la red: conexiones de mando y control, escaneos, movimiento lateral y robo de datos. Es la ventana en la que todavía se puede detener un ataque. No todos los ataques muestran todos esos pasos, y uno limitado a una sola máquina deja poco que ver a la red.

### ¿NetSenX detiene el ransomware?

No. NetSenX avisa del comportamiento de red que suele preceder al ransomware, para que su equipo actúe mientras hay tiempo. Aislar equipos, expulsar al atacante y restaurar los datos siguen siendo tarea de su equipo, de su protección de endpoints y de sus copias de seguridad.

### ¿Qué hacer primero si vemos estas señales?

Desconectar de la red los equipos afectados, conservar sus registros, restablecer las credenciales usadas en ellos y llamar a su proveedor de respuesta a incidentes. Si su organización está en el ámbito de NIS2, el plazo de 24 horas para la alerta temprana empieza cuando tiene conocimiento de un incidente significativo.

## Fuentes

- [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)
- [MITRE ATT&CK — Data Encrypted for Impact (T1486)](https://attack.mitre.org/techniques/T1486/)
- [Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

Esta página es información general y no constituye asesoramiento jurídico. Compruebe sus obligaciones con su autoridad nacional o con su asesor jurídico.

## Páginas relacionadas

- [Cómo detectar el movimiento lateral y el beaconing C2](https://netsenx.com/es/detect-lateral-movement-c2-beaconing)
- [Cómo saber si hay alguien dentro de su red](https://netsenx.com/es/is-someone-inside-your-network)
- [Monitorización de red NIS2](https://netsenx.com/es/nis2-network-monitoring)
- [¿Qué es NDR?](https://netsenx.com/es/what-is-ndr)
- [Precios y plan Free](https://netsenx.com/es/pricing)