El ransomware sabotea la recuperación antes de cifrar nada

La mayoría de la gente imagina un ataque de ransomware como un evento único y repentino: los archivos se cifran, aparece una nota de rescate y la organización corre a responder. En realidad, la parte más dañina de un ataque de ransomware a menudo ocurre antes de que se bloquee un solo archivo. Los atacantes destruyen deliberadamente las copias de seguridad y las opciones de recuperación primero, para que cuando el cifrado finalmente ocurra, las víctimas no tengan ninguna red de seguridad a la que recurrir.

Esta es la idea central detrás de un enfoque cada vez más relevante en las operaciones de seguridad: la ingeniería de detección diseñada específicamente para captar el sabotaje previo al cifrado. Dos comportamientos destacan como señales tempranas de advertencia confiables. El primero es la eliminación de copias de sombra, donde los atacantes borran los Volúmenes de Copia de Sombra de Windows, las instantáneas integradas que permiten a los administradores revertir a una versión anterior y limpia de un sistema. El segundo es el abuso de los Objetos de Política de Grupo (GPO) para distribuir cargas maliciosas a través de toda una red de una sola vez, convirtiendo una cuenta comprometida en un mecanismo de distribución masiva.

Ambas acciones son silenciosas en comparación con el cifrado en sí. No bloquean el acceso a nada de inmediato. Es exactamente por eso que son peligrosas: ocurren en la ventana antes de que alguien note que algo está mal, y están diseñadas específicamente para hacer imposible la recuperación una vez que el ataque se vuelve evidente.

Por qué la ingeniería de detección cambia la línea de tiempo

La monitorización de seguridad tradicional tiende a centrarse en el momento del impacto, el punto en que los archivos se cifran y los sistemas quedan fuera de servicio. Para entonces, el daño ya está en gran parte hecho. La ingeniería de detección invierte esa línea de tiempo al generar alertas alrededor de los pasos preparatorios que los atacantes dan antes de comenzar el cifrado.

Alertar sobre la eliminación de copias de sombra significa tratarla como un evento inherentemente sospechoso en lugar de un mantenimiento rutinario. Los administradores legítimos rara vez necesitan eliminar copias de sombra en masa a través de múltiples sistemas en un período corto. Cuando aparece ese patrón, es una señal sólida de que algo está trabajando activamente para eliminar la capacidad de una organización de recuperarse por sí misma.

De manera similar, monitorear los cambios en GPO que distribuyen nuevos scripts o ejecutables en toda la organización atrapa a los atacantes en el momento exacto en que intentan ampliar su acceso. Los GPO son una herramienta administrativa poderosa precisamente porque pueden llegar a todas las máquinas de un dominio. Ese poder también los convierte en un objetivo atractivo para los atacantes que buscan distribuir una carga de ransomware de la manera más amplia y rápida posible.

Al construir reglas de detección alrededor de estos comportamientos específicos y bien comprendidos de los atacantes, los equipos de seguridad tienen la oportunidad de intervenir antes de que comience el cifrado, no después. Eso es un cambio significativo de la respuesta reactiva a incidentes a la interrupción proactiva.

Lo que está en juego en privacidad detrás de la destrucción de copias de seguridad

Vale la pena detenerse en por qué la destrucción de copias de seguridad importa tanto más allá del dolor operativo inmediato. Cuando se destruyen las opciones de recuperación, las organizaciones se ven empujadas hacia un conjunto mucho más limitado de opciones, y una de las más comunes es pagar el rescate. La investigación sobre los resultados del ransomware ha demostrado que una parte significativa de las organizaciones aún elige pagar, incluso cuando hacerlo no garantiza nada. Nuestra cobertura anterior de el 34% de las empresas de ANZ que aún pagan ransomware encontró que el pago está lejos de ser una solución confiable, y esa decisión a menudo se toma bajo exactamente el tipo de presión que crea la destrucción de copias de seguridad.

También hay una dimensión de privacidad aquí. Cuando las copias de seguridad desaparecen y la negociación se convierte en el único camino a seguir, las organizaciones también tienen más probabilidades de enfrentar riesgo de exposición de datos. Los atacantes frecuentemente combinan el cifrado con el robo de datos, amenazando con filtrar información sensible de clientes o empleados si no se realiza el pago. Destruir las copias de seguridad elimina la opción de simplemente restaurar y negarse a negociar, lo que aumenta las probabilidades de que los datos personales robados terminen como palanca. Detectar el ataque antes, antes de que se borren las copias de seguridad, preserva más que solo la infraestructura de TI. Preserva la capacidad de una organización de decir no a una demanda de rescate sin jugar con los datos personales de las personas a las que sirve.

Qué significa esto para ti

Si gestionas sistemas de TI para una empresa, esto es un recordatorio de que la defensa contra el ransomware no puede detenerse en el antivirus de endpoints o la detección de archivos cifrados. El verdadero punto de apalancamiento suele estar horas o días antes, en los cambios administrativos silenciosos que preceden al ataque visible. Si eres simplemente un consumidor o empleado cuyos datos están dentro de estos sistemas, la conclusión es más indirecta pero igualmente importante: las organizaciones que invierten en ingeniería de detección temprana tienen menos probabilidades de terminar en una posición donde se vean obligadas a pagar un rescate o negociar con atacantes que tienen tu información personal.

Conclusiones prácticas

Para los equipos de seguridad, algunos pasos concretos se derivan directamente de esto: crea alertas específicamente para eventos de eliminación de copias de sombra en lugar de tratarlos como ruido de fondo, monitorea los cambios en GPO por alcance o sincronización inusuales, y mantén al menos una copia de seguridad aislada por completo del dominio para que una cuenta de administrador comprometida no pueda alcanzarla. Para todos los demás, es una buena razón para preguntar a las organizaciones que tienen tus datos cuál es su plan real de recuperación y si depende de copias de seguridad que un atacante podría eliminar en minutos.