Cambios en copias de seguridad y servicios de recuperación

2 tareas · 40 min · Principiante

0 de 2 · 0%

Antes de cifrar, el atacante debe asegurar que la víctima no pueda recuperarse gratis. Para ello ejecutan comandos para vaciar el catálogo de copias de seguridad de Windows (vssadmin delete shadows /all /quiet o wmic shadowcopy delete), alteran la configuración de arranque para ignorar reparaciones (bcdedit /set {default} recoveryenabled No) y detienen o desinstalan los servicios de backup corporativos (Veeam, Commvault).

Responde para continuar

¿Por qué la ejecución de vssadmin delete shadows /all /quiet debe tratarse como una emergencia absoluta de severidad crítica?

Es el precursor directo e inmediato que antecede por minutos al cifrado masivo de discos por ransomware Porque formatea permanentemente la placa madre del servidor impidiendo su arranque futuro Porque desconecta las pantallas de los usuarios impidiendo que sigan trabajando Porque el comando solo puede ser ejecutado por técnicos autorizados de Microsoft bajo contrato

Ver pista de ayuda

Destruir las instantáneas de volumen es la firma definitiva de la fase previa inmediata al cifrado.

Consulta en backup_destruction_events el comando exacto (command_executed) invocado en el servidor.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué comando completo figura en la columna command_executed de EVT-BCK-109?

Ver pista de ayuda

Copia el contenido íntegro de command_executed en la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Detección de Precursores de Ransomware

Pre-Ransomware Behavioral Telemetry Analyzer (Volume Shadow / AD Spike)

Tablas

backup_destruction_events

event_id
target_host
command_executed
service_tampered
user_account
status

ad_enumeration_spikes

source_ip
query_count
ad_filter
time_window_min
risk_state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Inhabilitación de Volume Shadow Copies y sabotaje de agentes de respaldo

2 Comando ejecutado para eliminar instantáneas Lab

Whoami-Labs Pro utiliza cookies