Cómo detectar el ransomware: 12 oportunidades de monitoreo y alerta para automatizar

How to Detect Ransomware Blog Banner

Aquí hay una docena de maneras en que los equipos de TI de cualquier tamaño pueden configurar alertas automáticas para detectar ataques de ransomware antes de que sea demasiado tarde.  

Es una locura pensar que en mayo de este año se cumplieron cinco años desde que el brote de WannaCry ayudó a convertir el ransomware en un nombre conocido. En cierto modo, parece que fue hace toda una vida (o más). Ejemplo: En comparación con las asombrosas cifras citadas en los informes actuales, algunas de las estadísticas relacionadas con el ransomware de 2017 resultan pintorescas.

Evidentemente, han cambiado muchas cosas y, con miles de millones de dólares en juego, decir que las operaciones de ransomware actuales han madurado y evolucionado es quedarse muy corto.

Como dice el investigador de seguridad Kevin Beaumont en un artículo del blog que todo el mundo debería leer:

 

«Un grupo de ransomware que recibe un pago de 40 millones de dólares por atacar a una compañía de seguros de ciberseguridad da a los atacantes más presupuesto para seguir ciberatacando que el que tienen la mayoría de las medianas y grandes empresas tienen para defenderse totalmente de los ataques. Y eso es sólo un ataque, de un grupo, que apenas llegó al radar de noticias de la mayoría de la gente»

– Kevin Beaumont, «La dura verdad sobre el ransomware»

 

Es una evaluación aleccionadora, pero antes de que vayamos a añorar los días «más sencillos» de 2017, también vale la pena considerar que, por mucho que hayamos visto cambiar las cosas en estos últimos cinco años, también hay muchas cosas que no lo han hecho.

Sí, el ecosistema de la ciberdelincuencia se ha disparado en torno al ransomware y, por supuesto, los grupos de ataque han acumulado enormes fondos para comprar días cero y lanzar programas de recompensas por errores. Pero lo cierto es que, a pesar de todo esto, la mayoría sigue operando en modo «low-hanging fruit». ¿Por qué ponerse sofisticado y lujoso cuando todavía se puede pillar a mucha gente durmiendo con lo básico?

Sí, la prevención es difícil para las organizaciones actuales, pero siempre lo ha sido, y no estoy del todo convencido de que sea exponencialmente más difícil hoy que hace cinco años. La verdad es que unos fundamentos sólidos y un endurecimiento básico de los puntos finales pueden llevar a las PYMES muy lejos.

Pero este post es sobre la detección, ¿verdad? Bueno, el mismo punto se aplica. La mayoría de las organizaciones van a necesitar recursos dedicados (internos o subcontratados) para desplegar y supervisar activamente las oportunidades de detección que vamos a cubrir aquí, pero la barrera de entrada no es necesariamente tan alta como algunos proveedores de seguridad pueden hacerle creer.

Un ejemplo: A continuación se presentan 12 buenas ideas básicas de detección que pueden darle resultados sin que le cueste una fortuna.

Entremos en ellas.

Cómo detectar el ransomware (o mejor aún, cuándo)

Para empezar, convengamos en que andar tratando de detectar la actividad del ransomware después de su ejecución (los ejecutables del ransomware que se ejecutan activamente y cifran los datos) es una carrera perdida. Algunas de las variantes de ransomware más prolíficas pueden cifrar 100.000 archivos en menos de cinco minutos.

Los intentos de detectar y reaccionar ante cambios masivos y repentinos en los nombres de los archivos, etc., suelen ser demasiado pequeños y tardíos.

El AV / EDR está obviamente diseñado para bloquear los ejecutables de ransomware, pero las tasas de detección/bloqueo no son perfectas, e incluso si consiguen bloquear un ejecutable no se soluciona el problema de que los atacantes hayan conseguido el acceso. Si fallan una vez, lo volverán a intentar.

También es habitual que los atacantes aprovechen las herramientas y los playbooks diseñados para obtener privilegios elevados y así poder desactivar las herramientas de seguridad (y las copias de seguridad).

Por esta razón, el mejor momento para detectar e interrumpir los ataques es el primero, idealmente cuando se trata de intentos a menudo automatizados de aterrizar y establecer cabezas de playa en tus sistemas. Cortar los ataques de raíz es mucho más fácil que enfrentarse a la siguiente etapa, cuando se trata de un hacker humano real que está operando con un libro de jugadas probado y verdadero y numerosas herramientas diseñadas para ayudarles a mapear rápidamente su red y poseerla por completo.

 

Así que cuando hablamos de detectar el ransomware, la mejor pregunta podría ser: «¿Cómo detectamos los primeros signos de alerta de un compromiso que podría llevar rápidamente al ransomware?»

 

Y se hace mucho hincapié en «rápidamente» Los informes muestran que, desde el acceso inicial, el ransomware puede desplegarse en cualquier lugar desde días hasta incluso sólo horas después. Vea los desgloses de The DFIR Report de «IcedID a XingLocker ransomware en 24 horas» y «Netwalker Ransomware en 1 hora»

Con tan poco tiempo para identificar la amenaza y reaccionar, es fundamental contar con herramientas y profesionales experimentados que supervisen activamente los sistemas y estén preparados para responder (idealmente aprovechando la automatización).

Bien, chico listo, ¿cuáles son las señales de alerta temprana del ransomware y las buenas oportunidades de detección?

La buena noticia es que, aunque hay una gran cantidad de grupos de ataque y variantes, la mayoría sigue basándose en manuales y herramientas comunes. Gracias al trabajo de investigadores como los de The DFIR Report y otros, los defensores pueden aprender las TTP más comunes y construir mecanismos de detección en consecuencia.

A continuación se presenta una lista de oportunidades de detección asignadas a los patrones de ataque de ransomware más comunes (una gran propina al Informe DFIR del año 2021). No se trata en absoluto de una lista exhaustiva, pero debería proporcionarle una buena orientación para empezar.

Si utiliza una solución de gestión de puntos finales o un RMM como NinjaOne, podrá crear condiciones de supervisión y alerta para muchas de estas detecciones que podrá desplegar fácilmente en los puntos finales, lo que le ahorrará a usted y a su equipo el trabajo manual. También puedes crear acciones automatizadas que quieras que activen las alertas, como reinstalar/reiniciar automáticamente los procesos AV/EDR si se identifica que faltan/están desactivados.

Si quieres llevar todo esto un paso más allá, la gente de The DFIR Report también ha compartido un montón de reglas Sigma extremadamente útiles que puedes utilizar con Chainsaw, una herramienta gratuita de código abierto de F-Secure Labs que ofrece una forma rápida de analizar los registros de eventos y detectar signos sospechosos de un ataque.

Tipos de tácticas de ransomware y cómo detectarlas: oportunidades de detección por etapa de ataque

Acceso inicial

Informes de correos electrónicos sospechosos de los usuarios finales: No ocupan los titulares como lo hacen las vulnerabilidades de día cero, pero los correos electrónicos maliciosos comunes y corrientes están diseñados para engañar a los usuarios para que descarguen y ejecuten malware siguen siendo uno de los vectores de ataque iniciales más comunes. ¿Por qué? Porque todavía funcionan.

  • Cómo detectar correos electrónicos sospechosos: Es importante que las organizaciones proporcionen a los empleados formación en materia de seguridad, pero también que creen una cultura en la que se les anime activamente y se les recompense por informar sobre correos electrónicos sospechosos y posibles errores sin temor a ser castigados.

Conexiones RDP sospechosas: El RDP expuesto es otro vector de ataque ante el que algunos informáticos y responsables de seguridad pueden poner los ojos en blanco, pero sigue siendo uno de los principales puntos de compromiso inicial para los incidentes de ransomware.

 

Persistencia

Creación de tareas programadas sospechosas: Una de las formas más comunes en que los atacantes obtienen persistencia en un sistema.

Software de acceso remoto inesperado: Otra táctica que está ganando terreno es la de los atacantes que instalan software de terceros como AnyDesk (el más popular con diferencia), Atera, TeamViewer y Splashtop.

  • Cómo detectar software de acceso remoto inesperado: Estas son herramientas populares entre los MSP, pero si NO está aprovechando alguna de ellas, es una buena idea supervisar regularmente su presencia y marcarla. De nuevo, el script de Kelvin puede ser utilizado para esto (ver el comentario de Luke Whitlock para una modificación que monitorea para AnyDesk).

Además, también puede supervisar el ID de evento de Windows 7045. 

 

Escalada de privilegios / acceso a credenciales

Extracción de credenciales del subsistema de autoridad de seguridad local de Windows (LSASS): Si bien hay otras formas de que los atacantes raspen las credenciales, ésta es, con mucho, una de las más comunes.

  • Cómo detectar el abuso de LSASS: Una buena manera de supervisar o bloquear los intentos de robo de credenciales de LSASS es aprovechar las reglas de reducción de la superficie de ataque (ASR) de Microsoft (se requiere Windows 10 build 1709 / Windows Server build 1809 o superior).Nota al margen: Otras reglas ASR también son excelentes para bloquear una variedad de intentos comunes de ejecutar código malicioso y obtener acceso inicial (por ejemplo: bloquear que los programas de Office creen procesos hijos, bloquear que JavaScript o VBScript lancen contenido ejecutable descargado, etc.). Consulte esta publicación del equipo de seguridad de Palantir en la que comparten su evaluación del impacto de las reglas ASR y la configuración recomendada.Muchas herramientas EDR también ofrecen capacidades de bloqueo y detección similares para proteger LSASS.

 

Evasión de la defensa

Desactivación/desinstalación de antivirus y otras herramientas de seguridad: ¿Por qué molestarse en pasar de puntillas por las herramientas de seguridad cuando puede simplemente desactivarlas?

 

Descubrimiento

Uso inesperado de herramientas de escaneo de puertos y descubrimiento de redes: Una vez establecida la cabeza de playa, los atacantes deben mirar a su alrededor para ver dónde han aterrizado e identificar las mejores oportunidades de movimiento lateral. Muchos aprovecharán las utilidades incorporadas de Windows como nltest.exe, ipconfig, whoami, etc., así como ADFind. Otros utilizarán herramientas de escaneo de puertos como Advanced IP Scanner.

  • Cómo detectar escáneres de puertos y herramientas de reconocimiento sospechosas: Al igual que con las herramientas de acceso remoto, si no las utilizas regularmente, puede probar a supervisarlas y crear alertas, así como reglas de automatización para bloquearlas de forma proactiva.

 

Movimiento lateral

Sospecha de uso de Cobalt Strike: Cobalt Strike es un «software de simulación de adversarios» que, por desgracia, se ha hecho tan popular entre los atacantes como entre su público objetivo, los testers de penetración. Hace que una amplia gama de tácticas post-explotación sean increíblemente fáciles de ejecutar, y rutinariamente aparece como una herramienta abusada en incidentes de ransomware.

Software de acceso remoto inesperado: Véase la sección de acceso remoto en «Persistencia» más arriba.

Conexiones de acceso remoto sospechosas: Podría incluir el uso de RDP, SMB, VNC, y más

  • Cómo detectar conexiones de acceso remoto sospechosas: Consulta esta lista de ideas de monitorización de MITRE (por ejemplo: creación de conexiones de red, acceso a recursos compartidos de red, etc.) y profundiza en las subtécnicas para obtener información específica sobre el abuso de RDP, SMB, VNC, SSH, etc.

Uso sospechoso de PsExec: PsExec es otra herramienta incorporada de Microsoft de la que los atacantes han abusado. Permite ejecutar remotamente comandos o scripts como SYSTEM.

 

Exfiltración de datos

Conexiones salientes sospechosas y picos de tráfico: Con el fin de ganar más ventaja sobre las víctimas, es cada vez más común que los atacantes no sólo cifren los datos, sino que los exfiltren primero. Eso les da la amenaza adicional de vender los datos o publicarlos en directo

  • Cómo detectar la exfiltración de datos: Los indicadores de una posible exfiltración de datos pueden incluir grandes picos de tráfico saliente, conexiones inesperadas a direcciones IP públicas, puertos utilizados de forma poco común, altos volúmenes de consultas DNS, extensiones de archivos de origen sospechosas (.rar, .7z, .zip, etc.), y más. La monitorización de la red y las reglas del cortafuegos pueden proporcionar el trabajo pesado aquí. Para más ideas, consulte la sección «Exfiltración» de MITRE ATT&CK.

Abuso de herramientas de transferencia de archivos integradas y de código abierto: A los atacantes les encanta utilizar herramientas legítimas que les ayuden a pasar desapercibidos. Para la exfiltración de datos, esto incluye Microsoft BITS, curl.exe, Rclone, Mega (MegaSync y MegaCmd), y más.

  • Cómo detectar el uso sospechoso de la transferencia de archivos: Aunque los atacantes pueden tomarse la molestia de cambiar el nombre de estos programas, algunos simplemente no lo hacen, por lo que bloquear y/o supervisar y alertar sobre su uso es un buen punto de partida. Para más ideas de detección avanzada/granular, vea lo siguiente: detección de Rclone, detección de Mega y Rclone, y MITRE ATT&CK ID T1197.

 

Añade una capa de detección de ransomware que sea manejable y escalable

Supervisar y alertar activamente sobre este tipo de actividades puede ser un reto para las organizaciones que no cuentan con un recurso especializado y capacitado. En muchos casos, asociarse con los expertos subcontratados adecuados puede ser el camino a seguir

Para ver más ejemplos de automatizaciones que los equipos de TI pueden aprovechar con Ninja, consulta «¿Qué deberías supervisar con tu RMM? 28 Recomendaciones»

NinjaOne también se asocia con Bitdefender para ofrecer una solución integrada contra el ransomware como parte de su plataforma de operaciones informáticas unificadas (UITO). Al incluir Ninja + Bitdefender GravityZone + Ninja Data Protection el paquete NinjaOne Protect ayuda a prevenir, detectar y responder a los ataques de ransomware, mitigando potencialmente el impacto del ransomware en tu negocio

Regístrate para una prueba gratuita de NinjaOne Protect hoy mismo

También te puede gustar

¿Listo para convertirte en un Ninja informático?

Descubre cómo NinjaOne puede ayudarte a simplificar las operaciones de TI.
Ver demo×
×

¡Vean a NinjaOne en acción!

Al enviar este formulario, acepto la política de privacidad de NinjaOne.

Términos y condiciones de NinjaOne

Al hacer clic en el botón «Acepto» que aparece a continuación, estás aceptando los siguientes términos legales, así como nuestras Condiciones de uso:

  • Derechos de propiedad: NinjaOne posee y seguirá poseyendo todos los derechos, títulos e intereses sobre el script (incluidos los derechos de autor). NinjaOne concede al usuario una licencia limitada para utilizar el script de acuerdo con estos términos legales.
  • Limitación de uso: sólo podrás utilizar el script para tus legítimos fines personales o comerciales internos, y no podrás compartirlo con terceros.
  • Prohibición de republicación: Bajo ninguna circunstancia está permitido volver a publicar el script en ninguna biblioteca de scripts que pertenezca o esté bajo el control de cualquier otro proveedor de software.
  • Exclusión de garantía: El script se proporciona «»tal cual» y «según disponibilidad», sin garantía de ningún tipo. NinjaOne no promete ni garantiza que el script esté libre de defectos o que satisfaga las necesidades o expectativas específicas del usuario.
  • Asunción de riesgos: El uso que el usuario haga del script corre por su cuenta y riesgo. El usuario reconoce que existen ciertos riesgos inherentes al uso del script, y entiende y asume cada uno de esos riesgos.
  • Renuncia y exención: El usuario no hará responsable a NinjaOne de cualquier consecuencia adversa o no deseada que resulte de su uso del script y renuncia a cualquier derecho o recurso legal o equitativo que pueda tener contra NinjaOne en relación con su uso del script.
  • CLUF: Si el usuario es cliente de NinjaOne, su uso del script está sujeto al Contrato de Licencia para el Usuario Final (CLUF).