Una forma más silenciosa de cegar tus defensas

Los operadores de ransomware han intentado durante mucho tiempo eliminar el software de seguridad antes de lanzar un ataque, apagando las herramientas antivirus, los agentes de detección y respuesta en endpoints (EDR) y los servicios de copia de seguridad para que nada se interponga en el cifrado. Pero una nueva generación de herramientas, a veces llamadas "asesinos de ransomware", está adoptando un enfoque más sutil. En lugar de terminar un proceso de seguridad por completo, estas herramientas sobrescriben quirúrgicamente la memoria del proceso dejando la aplicación técnicamente en ejecución.

La diferencia importa más de lo que parece. Cuando se mata un proceso de seguridad, normalmente desaparece de la lista de procesos del sistema, y muchas organizaciones tienen monitorización específica para detectar ese tipo de desaparición. Un servicio vigilante, una consola de gestión o una regla de alerta pueden detectar el momento en que un proceso antivirus deja de responder y dar la alarma. Al sobrescribir la memoria de ese proceso, los atacantes pueden neutralizar su capacidad para detectar o responder a amenazas mientras el proceso sigue apareciendo como activo para cualquiera que mire un administrador de tareas o una comprobación básica de salud.

Por qué sobrescribir la memoria es más difícil de detectar

Esta técnica explota una brecha entre lo que las herramientas de seguridad están diseñadas para monitorizar y lo que realmente indica un compromiso. La mayoría de las capas defensivas se construyen bajo la suposición de que un agente de seguridad en funcionamiento significa que la protección está intacta. Si el proceso está presente y en ejecución, se asume que está haciendo su trabajo. Los asesinos de ransomware que manipulan la memoria directamente socavan esa suposición sin activar la señal obvia — un fallo o terminación del proceso — en la que confían muchos sistemas de detección.

Esta es una evolución natural de una tendencia que ya ha reformado la forma en que operan los grupos de ransomware. Como se cubrió en un análisis reciente sobre marcos de ransomware que eliminan EDR, los atacantes han pasado de competir por cifrar archivos antes de que las defensas reaccionen a deshabilitar metódicamente esas defensas primero. Las técnicas de sobrescritura de memoria representan el siguiente paso en ese mismo manual: en lugar de solo deshabilitar una herramienta, los atacantes están aprendiendo a hacer que parezca que no ha pasado nada en absoluto.

Para los equipos de seguridad, esto plantea un problema práctico. Las estrategias de detección que dependen de "¿está el proceso de seguridad todavía en ejecución?" como indicador de "¿está el endpoint todavía protegido?" pueden ser derrotadas silenciosamente. Eso no significa que estas herramientas sean inútiles, pero sí que las organizaciones necesitan señales adicionales, como verificar que un proceso realmente se está comportando con normalidad, no solo que existe, para detectar este tipo de manipulación.

Un patrón más amplio de evasión de EDR y antivirus

Este desarrollo encaja en un patrón más amplio donde los grupos de ransomware tratan el software de seguridad como el primer obstáculo a eliminar, no como una ocurrencia tardía. Los atacantes han creado cada vez más herramientas dedicadas solo para deshabilitar o eludir productos de detección antes de desplegar la carga útil de ransomware real. El cambio hacia la manipulación de memoria, en lugar de la terminación directa, sugiere que estos grupos se están adaptando activamente a los defensores que han mejorado en la detección de la versión más burda de este ataque. A medida que las defensas en capas como las que exigen los marcos de ransomware que eliminan EDR se convierten en consejo estándar, los atacantes están refinando correspondientemente sus métodos para escabullirse precisamente a través de esas capas.

Lo que esto significa para ti

Para los usuarios individuales, este tipo de ataque es poco probable que aparezca directamente, ya que apunta a la infraestructura de seguridad empresarial en lugar de a dispositivos personales. Pero la lección subyacente se aplica de manera general: la presencia de una herramienta de seguridad en tu sistema no es una garantía de que esté funcionando correctamente. Los asesinos de ransomware son un recordatorio de que los atacantes se centran cada vez más en deshabilitar la protección de forma silenciosa en lugar de activar alarmas visibles, lo que hace que valga la pena prestar atención a si tu software de seguridad realmente se está comportando con normalidad, no solo a si está instalado y en ejecución.

Para los equipos de TI y seguridad, esta técnica subraya la necesidad de ir más allá de las simples comprobaciones de "¿está vivo el proceso?". La monitorización debe incluir verificación del comportamiento de las propias herramientas de seguridad, comprobando que realmente están escaneando, actualizando e informando como se espera, no solo ocupando un lugar en la lista de procesos. Las defensas en capas, la monitorización redundante y la verificación fuera de banda del estado de la herramienta de seguridad se vuelven más importantes a medida que los atacantes mejoran en fingir normalidad.

Conclusiones prácticas

  • No confíes únicamente en la presencia del proceso como prueba de que el software de seguridad está funcionando; verifica el comportamiento, no solo la existencia.
  • Asegúrate de que las herramientas de seguridad tengan comprobaciones de integridad o funciones de protección contra manipulaciones habilitadas cuando estén disponibles.
  • Implementa monitorización que señale actividad de memoria inusual alrededor de procesos de seguridad críticos, no solo fallos o terminaciones.
  • Mantén actualizadas las herramientas de detección de endpoints, ya que los fabricantes a menudo parchean contra técnicas de evasión conocidas a medida que se descubren.
  • Trata cualquier informe sobre herramientas de "asesino de ransomware" como una señal para revisar cómo tu organización verifica la salud de sus propias defensas, no solo si técnicamente están en ejecución.

A medida que los grupos de ransomware continúan refinando cómo neutralizan las herramientas de seguridad sin activar alarmas obvias, mantenerse informado sobre estas técnicas de evasión es una de las formas más simples de ir un paso por delante.