Servicios y procesos — qué se apagó antes del cifrado

Detener un servicio es normal: parches, reinicios, mantenimiento. Lo que no es normal es detenerlo fuera de una ventana aprobada y, sobre todo, detener varios de la misma clase en pocos minutos: el antivirus, el agente de respaldo, la base de datos. La pregunta de trabajo es corta: ¿había un ticket de cambio que lo explique?

El listado de servicios detenidos trae una columna que dice si cada detención cae en una ventana aprobada. Ordenarlas por hora separa lo rutinario del arranque de la fase.

La secuencia tiene una lógica que se lee desde la defensa. Se detiene lo que protege (el antivirus o el agente del EDR), lo que guarda copias (el agente de respaldo) y lo que mantiene archivos abiertos (una base de datos): lo primero evita que alguien reaccione, lo segundo evita que haya copias nuevas y lo tercero libera los archivos para poder tocarlos.

Para quien defiende, lo relevante es que esa secuencia queda anotada en los registros del sistema con su hora y su cuenta, y no depende de qué programa sea el que cifra. No hay que saber cómo está hecho para ver que alguien apagó servicios sin ticket.

Una cuenta de servicio de respaldo tiene un oficio: ejecutar el trabajo nocturno. Cuando esa misma cuenta detiene servicios de antivirus y de base de datos en varios equipos, la cuenta está haciendo algo que su función no explica. Es el hilo para la siguiente pregunta —cómo se llegó a esa cuenta— y para la contención, que se decide con quien tenga autoridad sobre ella.

Entre la primera detención y el primer programa de cifrado hay un margen. Medirlo es la forma de saber si una alerta sobre la detención habría llegado a tiempo, y en este caso es muy corto: se cuenta de la primera detención sin ventana al arranque del primer programa desconocido en ese mismo servidor.