English
Español
Ciberseguridad
Ciberseguridad7 min lectura
Ransomware en 2025: Prevención, Detección y Respuesta.
La cadena de ataque del ransomware moderno
El ransomware actual no es el virus que encripta archivos de forma inmediata. Los grupos como LockBit, BlackCat o Cl0p operan con paciencia. Pueden estar semanas dentro de tu red antes de activar el cifrado, robando datos para extorsión doble: te piden rescate por la clave Y amenazan con publicar la información.
Comprender la kill chain es fundamental para saber dónde intervenir. El MITRE ATT&CK framework documenta más de 40 técnicas utilizadas específicamente por grupos ransomware.
Fase
01
Acceso inicial
Phishing, RDP expuesto, vulnerabilidades en VPN. El vector más común es un email con un documento Office malicioso o un enlace a una página de phishing de credenciales.
Fase
02
Persistencia y escalada
Instalación de RATs, abuso de herramientas legítimas (Living-off-the-Land). Escalada de privilegios para obtener acceso de Administrador de Dominio.
Fase
03
Exfiltración de datos
Transferencia de datos sensibles antes del cifrado. Se usan servicios legítimos (Rclone, MEGAsync) para evitar detección. Este es el paso de la "extorsión doble".
Fase
04
Cifrado y demanda
Despliegue masivo del payload ransomware mediante GPO o PSExec. Encriptación de archivos, backups y shadow copies. Nota de rescate en cada directorio.
La regla 3-2-1-1-0 para backups
La regla de oro para la recuperación es la 3-2-1-1-0: 3 copias de datos, en 2 tipos de medios distintos, con 1 copia offsite, 1 copia air-gapped (sin conexión de red) y 0 errores verificados en los backups. Un backup que no se ha probado no es un backup.
Ejemplo educativo YARA: cadenas de comandos sospechosos
Esta regla busca dos cadenas de comandos en archivos o memoria de procesos. Una coincidencia no demuestra que se hayan ejecutado ni que haya ransomware; también puede aparecer en scripts legítimos y documentación. No detecta comportamiento, no impide el cifrado ni aísla equipos. Contrasta los resultados con telemetría de procesos y seguridad antes de actuar. Consulta la documentación oficial de reglas YARA.
rule ShadowCopyCommandStrings {
meta:
description = "Triaje educativo de cadenas; no detecta comportamiento"
strings:
// Encontrar el texto no demuestra que se haya ejecutado el comando.
$vss = "vssadmin delete shadows" ascii wide nocase
$wmic = "wmic shadowcopy delete" ascii wide nocase
condition:
any of ($vss, $wmic)
}
"Pagar el rescate no garantiza recuperar los datos. El 80% de las víctimas que pagan sufren un segundo ataque."
Zenith — Fuente: Cybereason Ransomware Study
Plan de respuesta a incidente ransomware
- 01
Aislar — Desconectar inmediatamente los sistemas afectados de la red. Nunca apagar (preserva evidencia en memoria RAM).
- 02
Identificar — Determinar el alcance: qué sistemas, qué datos, qué variante. Herramientas: ID Ransomware, análisis de logs de EDR.
- 03
Notificar — Comunicar a dirección, legal y si aplica, a la AEPD (obligatorio si hay datos personales afectados en <72h).
- 04
Restaurar — Reconstruir sistemas desde imagen limpia. Restaurar desde el backup más reciente verificado y air-gapped.
- 05
Fortalecer — Post-mortem completo. Parchear el vector de entrada original. Implementar mejoras para evitar la reinfección.
Etiquetas :
RansomwareCiberseguridadBackupIRMITRE
