Reglas Suricata contra ransomware moderno

Antes de ejecutar el binario de cifrado, las bandas de ransomware (como LockBit o BlackCat) ejecutan una secuencia repetitiva visible en los cables de red: 1) Descubrimiento masivo de recursos compartidos SMB en el puerto 445 (Tree Connect masivo). 2) Exfiltración previa de documentos confidenciales para doble extorsión hacia proveedores de almacenamiento (Mega, Dropbox, AWS S3). 3) Distribución del binario a través de PsExec o WMI. Detectar la exfiltración o el escaneo SMB permite contener el incidente horas antes de que se inicie el cifrado de datos.

Un usuario normal abre tres o cuatro carpetas compartidas al día. Un ransomware abre 500 carpetas en diez segundos buscando extensiones .docx, .xlsx o .pdf. En Suricata, una regla puede inspeccionar paquetes SMB2 y medir la cadencia mediante la opción threshold: threshold: type both, track by_src, count 100, seconds 5. Si una misma IP origen emite más de cien peticiones de apertura de archivo en cinco segundos, Suricata dispara la alerta inmediatamente.

A menudo un solo paquete no es malicioso, pero una secuencia sí: primero una petición HTTP que descarga un archivo comprimido .zip, y segundos después un tráfico saliente anómalo hacia una IP desconocida. Suricata permite encadenar eventos mediante flowbits: la primera regla marca el flujo con flowbits: set, rclone_download, y una segunda regla solo inspecciona conexiones si ese bit ya está activo (flowbits: isset, rclone_download). Esto elimina falsos positivos correlacionando la causa con la consecuencia.

Herramientas de sincronización legítimas como Rclone o MegaSync se configuran a menudo con opciones por defecto que dejan huellas evidentes en las cabeceras HTTP de salida: User-Agent: rclone/v1.XX o peticiones hacia APIs de almacenamiento de objetos con patrones fijos en la URL. Una regla de Suricata orientada al tráfico HTTP perimetral (http.user_agent, http.uri) detecta el intento de fuga en el primer archivo enviado.