1) Qué es la cadena de ataque del ransomware

Aunque cada campaña varía, la mayoría de los ataques siguen un patrón. El objetivo inicial es ganar acceso, mantener control y luego impactar con cifrado o extorsión. Pensar en “cadena” ayuda a priorizar controles: antes de que cifren, siempre hay huellas.

Fase A: acceso inicial

Los vectores comunes incluyen credenciales comprometidas, errores de exposición de servicios, software sin parches o instalación de acceso remoto no autorizado. La contraseña reutilizada y la falta de segmentación hacen que el movimiento lateral sea más fácil.

Fase B: reconocimiento y escalado

Una vez dentro, el atacante intenta identificar qué sistemas valen la pena, qué privilegios tiene y cómo moverse. Aquí suelen aparecer procesos inusuales, conexiones persistentes y cambios de configuración.

Fase C: movimiento lateral

El ransomware no “aparece” en todos los equipos a la vez. Primero se propaga, busca recursos compartidos y prepara el terreno para cifrar a escala. Un entorno plano, sin controles entre subredes, tiende a amplificar el daño.

Fase D: preparación de impacto

En esta fase se preparan herramientas, se deshabilitan salvaguardas o se manipulan procesos para reducir la capacidad de respuesta. A veces se observa borrado de copias, cambios en políticas o modificaciones de servicios.

Fase E: cifrado y extorsión

Cuando llega el cifrado, el tiempo de recuperación depende de copias de seguridad válidas, de la rapidez para cortar la propagación y de qué tan bien estaban diseñadas la segmentación y los procedimientos.

2) Señales tempranas que suelen aparecer

Muchas organizaciones detectan tarde. Para mejorar, conviene buscar indicadores consistentes, no un único “evento raro”. A continuación, señales que vale la pena monitorizar y documentar.

  1. Accesos anómalos a cuentas privilegiadas

    Inicios de sesión fuera de horario, desde ubicaciones inesperadas o cambios de roles. Si la cuenta tiene capacidad administrativa, el riesgo escala rápidamente.

  2. Actividades de red “lentas” pero persistentes

    Conexiones repetidas a destinos no habituales, enumeraciones internas y tráfico lateral. Estas señales no siempre son explosivas, pero suelen aparecer antes del impacto.

  3. Cambios en servicios, tareas programadas o herramientas

    Nuevas tareas, binarios en rutas inusuales, modificaciones de servicios. Si se combinan con accesos anómalos, es una alerta.

  4. Uso inusual de recursos compartidos

    Accesos masivos a carpetas compartidas y patrones de lectura-escritura. El ransomware aprovecha recursos comunes para cifrar más rápido.

  5. Indicadores de eliminación o manipulación de copias

    Eventos relacionados con borrado, desactivación o cambios en la infraestructura de respaldo. Este tipo de actividad suele preceder al cifrado.

3) Respuesta inicial: qué hacer primero

Cuando sospeches ransomware, el objetivo es detener la propagación y preservar evidencia para el análisis. Evita improvisar: sigue un orden de acciones.

Aislar sin apagar de forma caótica

Si es posible, aísla segmentos o equipos afectados desde la red. La contención reduce el movimiento lateral mientras mantienes capacidad de análisis.

Confirmar el alcance

Revisa qué cuentas se vieron comprometidas, qué activos se conectaron y si hubo acceso a recursos compartidos. Un alcance parcial también es valioso para priorizar.

Preservar evidencia y trazas

Salva registros relevantes: eventos de autenticación, logs de administración, cambios de configuración y actividad de red. Esta información acelera el “por qué pasó” y el “qué corregir”.

Deshabilitar rutas de propagación

Aplica cambios para frenar el movimiento: revisa servicios expuestos, desactiva credenciales comprometidas y ajusta permisos donde sea necesario. Lo importante es cortar la cadena.

Planificar recuperación con copias verificadas

La restauración solo es tan buena como las copias. Asegura que puedas recuperar sin volver a introducir la amenaza. Si tienes una estrategia 3-2-1, úsala como marco de decisión.

4) Decisiones típicas que conviene tomar a tiempo

Hay decisiones que empeoran el incidente si se retrasan. En particular, la falta de segmentación, el desconocimiento del punto de entrada y la ausencia de procedimientos de respuesta.

  • ¿Puedes identificar la cuenta o el sistema inicial, aunque sea aproximado?
  • ¿Qué activos compartieron recursos con los equipos afectados?
  • ¿Las copias están aisladas de cambios y se han probado?
  • ¿Hay un proceso claro para reportar, contener y documentar?

Si quieres profundizar

Para complementar esta lectura, revisa la guía completa de ransomware y prepara un plan de respuesta que puedas ejecutar con calma.