Preparación del cifrado y respaldos

Una detección solo puede ser tan buena como las fuentes que le llegan. Antes de preguntarse por qué no saltó una alerta, hay que preguntarse si el registro que la habría provocado llegaba. En el caso, de siete fuentes, cuatro llegaban y tres no: dos agentes que callaron a las pocas horas y una consola que no había enviado nunca nada.

Ejecuta SELECT * FROM fuentes_del_siem WHERE estado <> 'recibiendo'. Una de las filas dice que nunca se conectó.

Quitar la vía de vuelta es parte de la preparación: el ATT&CK de MITRE lo recoge como la técnica T1490, «Inhibit System Recovery», que agrupa borrar o desactivar lo que ayudaría a recuperar un sistema. En este caso no hubo ningún comando famoso: alguien entró a la consola con la cuenta nueva y borró puntos de respaldo, cambió la retención y deshabilitó el trabajo.

Todo eso está en la bitácora de la consola, que hubo que leer directamente allí porque no llegaba al SIEM. Consulta SELECT * FROM bitacora_respaldos.

Antes del cifrado, en los servidores de archivos pasaron tres cosas seguidas: se añadió una exclusión en el agente para que dejara de revisar una carpeta, se detuvo el servicio del agente y, en uno de ellos, se borró el registro de seguridad. El evento 1102 es el que Windows genera cada vez que se borra el registro de seguridad; no hay razón normal para verlo, y por eso conviene que tenga regla.

La exclusión tiene un detalle que sirve: dice exactamente qué carpeta quería proteger el atacante de la revisión. Consulta SELECT * FROM defensas.

Antes de cifrar, los datos salieron. Lo que separa esta salida de la copia nocturna contratada no es el volumen ni el puerto, que es el mismo, sino el equipo de origen, el destino y la hora: la copia contratada sale siempre de afu-bkp01 hacia el mismo sitio a las 23:00.

Consulta SELECT * FROM salidas WHERE destino = '203.0.113.185' y suma los GB de las dos filas. El informe necesita una cifra de lo que salió, aunque sea una cifra mínima: la que se puede probar con este registro.

El cifrado empezó a las 02:05 del jueves. Entre las señales de la preparación hay una que ocurrió más de tres horas antes y otras que ocurrieron en las horas siguientes. Cuánto margen da una regla es la diferencia entre la hora de su señal y la hora en que empieza el daño. Pero una regla solo sirve si la fuente llega: de las cinco de cobertura_de_reglas, dos no existían y una existía con la fuente en silencio.