Durante años, la imagen típica del ransomware era la de archivos cifrados y una nota de rescate en pantalla. Una nueva táctica descrita por PortalGeek cambia ese guion: el ransomware sin cifrado living off the land bloquea redes corporativas sin cifrar un solo archivo, apoyándose en las propias herramientas de la organización. El resultado sigue siendo el mismo, una empresa parada, pero el camino para llegar hasta ahí es más difícil de detectar.
Este artículo explica cómo funciona, por qué es tan escurridizo y qué deberían revisar tanto las empresas como las personas que trabajan desde casa.
Cómo funciona el ransomware sin cifrado
Según la información publicada, esta táctica paraliza la operativa de una red corporativa sin recurrir al cifrado de archivos, que es lo que suelen vigilar muchas defensas. En lugar de desplegar un programa malicioso muy visible, el atacante aprovecha utilidades que ya existen en el entorno: herramientas de administración como PowerShell y software de acceso remoto.
A este enfoque se le conoce como "living off the land" (vivir del terreno): el intruso usa lo que ya hay instalado. Sin cifrar datos, puede interrumpir servicios, bloquear accesos o inutilizar sistemas, y el impacto sobre la continuidad del negocio es igualmente serio. Para una empresa, no poder operar es el problema central, tenga o no sus archivos cifrados.
Por qué usar herramientas legítimas dificulta su detección
La clave está en que nada de lo que ejecuta el atacante parece, a primera vista, extraño. PowerShell lo utilizan a diario los administradores de sistemas, y el software de acceso remoto es una pieza habitual del soporte técnico. Si un atacante con credenciales válidas lanza esas mismas herramientas, su actividad puede confundirse con trabajo rutinario.
Esto tiene varias consecuencias prácticas:
- Menos señales clásicas. Un antivirus que busca archivos maliciosos conocidos tiene poco que bloquear cuando se usan programas legítimos.
- El foco se desplaza a las credenciales. Si el acceso es válido, la pregunta ya no es "¿qué software es este?", sino "¿quién lo está usando y desde dónde?".
- Más importancia del comportamiento. Detectar un uso inusual de una herramienta (a una hora rara, desde un equipo inesperado) pasa a ser más útil que detectar un archivo concreto.
No es una amenaza que se resuelva con un único producto. Requiere capas: control de accesos, visibilidad y capacidad de recuperación.
Qué significa para el teletrabajo y las redes domésticas
Una red corporativa no termina en la oficina. Cada portátil que se conecta desde casa, cada herramienta de acceso remoto y cada contraseña reutilizada amplía la superficie por la que puede entrar un atacante. Si el método depende de utilizar accesos legítimos, las credenciales de quienes trabajan en remoto se convierten en una puerta especialmente valiosa.
En la práctica, la seguridad de la red doméstica influye en la de la empresa:
- Un router con la contraseña de fábrica o con firmware sin actualizar es un punto débil.
- Una contraseña repetida entre servicios personales y corporativos facilita que una filtración ajena acabe afectando al trabajo.
- Un programa de acceso remoto instalado y olvidado, o sin autenticación reforzada, ofrece una vía directa hacia el equipo.
El contexto general también importa. Como recogimos en nuestro análisis sobre el aumento de víctimas de ransomware en España y el robo de datos con IA, la amenaza sigue creciendo y afecta tanto a organizaciones como a las personas que están conectadas a ellas.
Medidas prácticas: MFA, mínimos privilegios, monitorización y copias de seguridad
Ninguna de estas medidas es novedosa, pero juntas reducen mucho el margen de maniobra de quien intenta abusar de herramientas legítimas.
- Autenticación multifactor (MFA). Actívala en el correo, en las VPN corporativas, en el escritorio remoto y en cualquier panel de administración. Si una contraseña se filtra, el MFA añade un obstáculo importante.
- Mínimos privilegios. Cada cuenta debería tener solo los permisos que necesita. Si un usuario normal no necesita ejecutar PowerShell con derechos elevados, mejor restringirlo.
- Control del software de acceso remoto. Mantén un inventario de qué herramientas están autorizadas y elimina las que no se usen.
- Monitorización del comportamiento. Registra y revisa la actividad de herramientas administrativas, y define alertas ante usos fuera de lo habitual.
- Copias de seguridad aisladas y probadas. Guarda copias separadas de la red principal y comprueba que se pueden restaurar. Si lo que se bloquea son sistemas, no solo archivos, también conviene tener un plan de recuperación documentado.
- Higiene doméstica. Cambia las credenciales del router, actualiza su firmware, usa contraseñas únicas con un gestor y mantén el sistema operativo al día.
Conclusión: revisa tu configuración antes de que lo haga un atacante
El ransomware sin cifrado living off the land recuerda que el peligro no siempre llega en forma de un archivo sospechoso. A veces llega con una cuenta válida y herramientas que ya están en tu equipo. Por eso la defensa pasa por proteger credenciales, limitar permisos, vigilar el comportamiento y asegurar que puedas recuperarte.
Dedica unos minutos esta semana a revisar tu configuración de trabajo remoto: ¿tienes MFA activado en tus cuentas clave? ¿Has cambiado la contraseña de administración de tu router? ¿Tus copias de seguridad están aisladas y las has probado? Para entender mejor la dimensión del problema, puedes consultar nuestro artículo sobre las tendencias de ransomware en España.
