Cronología típica de un incidente previo al cifrado

2 tareas · 40 min · Principiante

0 de 2 · 0%

El cifrado masivo de archivos es la fase final y destructiva de una intrusión de ransomware. Durante los días o semanas previas, los atacantes ejecutan una secuencia cronológica predecible: 1) Acceso inicial por phishing o credenciales robadas, 2) Reconocimiento y enumeración de red, 3) Movimiento lateral y escalada de privilegios a Domain Admin, 4) Exfiltración sigilosa de datos para doble extorsión, y 5) Destrucción deliberada de copias de seguridad. Cazar en las fases intermedias evita el desastre.

Responde para continuar

¿En qué fase de la cronología de ransomware se produce la exfiltración masiva de información confidencial?

Simultáneamente al cifrado mientras los usuarios leen la nota de rescate en pantalla Días o semanas antes del cifrado, para asegurar el rescate mediante doble extorsión antes de alertar a la víctima El ransomware nunca extrae información porque solo busca cifrar archivos locales Semanas después de que el rescate ha sido pagado y los equipos restaurados

Ver pista de ayuda

La doble extorsión exige robar los datos antes de que la víctima note el ataque mediante el cifrado.

Consulta en backup_destruction_events el identificador (event_id) del comando que eliminó las instantáneas de volumen.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el event_id registrado en backup_destruction_events?

Ver pista de ayuda

Observa el valor en la primera columna de la primera fila de backup_destruction_events.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Detección de Precursores de Ransomware

Pre-Ransomware Behavioral Telemetry Analyzer (Volume Shadow / AD Spike)

Tablas

backup_destruction_events

event_id
target_host
command_executed
service_tampered
user_account
status

ad_enumeration_spikes

source_ip
query_count
ad_filter
time_window_min
risk_state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 El tiempo de permanencia (Dwell Time) previo al impacto

2 Identificador del evento de destrucción de copias Lab

Whoami-Labs Pro utiliza cookies