Señales de preparación

Un administrador legítimo reinicia equipos, mueve archivos y a veces actualiza agentes. Lo que casi nunca hace es, en la misma madrugada, detener la protección de varios servidores, eliminar los trabajos de respaldo y borrar las copias de volumen. Eso solo tiene sentido si se quiere impedir una recuperación (en ATT&CK, T1490, Inhibit System Recovery) justo antes de cifrar (T1486, Data Encrypted for Impact). La rareza de la combinación es lo que la hace una buena señal.

Antes de cifrar, es frecuente copiar datos hacia fuera para tener con qué presionar aunque la víctima restaure. En salida_datos hay varias sesiones del servidor de archivos. Una cantidad que supera varias veces lo habitual hacia un destino que no es el de siempre es la señal; para dimensionarla se suma por destino, no por fila.

El agente de seguridad también se actualiza y se reinicia, por eso una sola fila de agente detenido no alarma. Lo que sí alarma es la misma cuenta deteniéndolo en varios equipos en pocos minutos. En eventos_preparacion hay filas de mantenimiento que no cuentan: el evento dice detenido, no actualizado ni reiniciado.

Los trabajos de respaldo se eliminan desde la consola del servidor que los administra. Ese servidor, además, no llega al SIEM: lo que se sabe de él se recogió a mano. Una detección sobre esa fuente exige antes traerla. Busca en eventos_preparacion el equipo de las filas con fuente respaldo.

Cada señal de preparación se mide por el aviso que da: los minutos entre ella y el primer renombrado masivo de archivos. Toma la primera detención de agente de la tabla y la fila del renombrado; las dos están en la misma zona horaria y el mismo día.