Escenario: un viernes por la tarde con tres señales débiles

Un viernes a las 18:00 horas, el equipo de caza detectó tres señales concurrentes: 1) Un escaneo SharpHound masivo (24,500 consultas LDAP) desde la estación 10.10.40.15, 2) Transferencia saliente de archivos comprimidos hacia almacenamiento en la nube, y 3) La invocación de vssadmin.exe delete shadows /all /quiet en el servidor principal de archivos SRV-FILE-PROD-01. Los atacantes preparaban el cifrado para el fin de semana. La correlación permitió aislar el servidor y revocar accesos en menos de 15 minutos, frustrando el despliegue del ransomware.

Indica el valor de status que figura en la tabla backup_destruction_events.

Lección tras el caso {#leccion}

El ransomware moderno no es un fenómeno espontáneo que ocurre de forma instantánea: es la conclusión destructiva de una intrusión que duró días o semanas. Antes del cifrado masivo existen precursores conductuales ineludibles: reconocimiento exhaustivo de Active Directory con ráfagas LDAP, empaquetado y exfiltración de información sensible para doble extorsión y la inhabilitación forzada de instantáneas de volumen (vssadmin) y copias de seguridad. El cazador de amenazas defensivo busca activamente estos precursores tempranos, sabiendo que neutralizar el ataque antes de la destrucción de respaldos marca la diferencia entre un incidente menor y la parálisis total de la organización.