La actividad de ransomware suele incluir una preparación antes de que comience el cifrado. Los atacantes pueden intentar reducir las opciones de recuperación, eliminar copias de seguridad, borrar evidencias o cambiar configuraciones del sistema que dificulten la restauración.

La fuente define una búsqueda de línea de comandos de Windows para varios comportamientos asociados con esta fase de preparación e impacto.

Comandos incluidos en la búsqueda

La consulta busca actividad que involucre:

• vssadmin eliminando copias de seguridad instantáneas;

• eliminación de instantáneas mediante WMI;

• wbadmin eliminando el catálogo de copias de seguridad;

• bcdedit deshabilitando la recuperación;

• wevtutil borrando registros;

• cipher /w;

• cambios de SymlinkEvaluation mediante fsutil.

Consulta de detección

data.win.system.eventID:1 and data.win.eventdata.commandLine:(*vssadmin*delete*shadows* or *wmic*shadowcopy*delete* or *wbadmin*delete*catalog* or *bcdedit*recoveryenabled*no* or *wevtutil*cl* or *cipher*/w* or *fsutil*behavior*set*SymlinkEvaluation*)

La fuente registró tres eventos coincidentes durante los 30 días anteriores.

Por qué importan estos eventos

Muchos de estos comandos tienen usos administrativos legítimos, pero varios son poco habituales en la actividad normal de los usuarios.

La eliminación de instantáneas o de catálogos de copias de seguridad, en particular, debe revisarse con cuidado cuando ocurre fuera de las operaciones de mantenimiento o copia de seguridad aprobadas.

El evento cobra mayor importancia cuando se combina con:

• ejecución sospechosa de shell;

• volcado de credenciales;

• desactivación de controles de seguridad;

• modificación masiva de archivos;

• tareas programadas recién creadas;

• administración remota inusual.

Flujo de investigación

Para cada coincidencia, los analistas deben determinar:

• quién ejecutó el comando;

• si el equipo es una estación de trabajo o un servidor;

• el proceso padre;

• línea de comandos exacta;

• si estaban planificadas operaciones de copia de seguridad o recuperación;

• otros procesos iniciados aproximadamente al mismo tiempo;

• si varios sistemas realizaron la misma acción.

Si el comando aparece poco antes de cambios generalizados en archivos, el evento debe tratarse como un posible precursor de ransomware.

Ajuste

El software de copia de seguridad o los scripts de mantenimiento conocidos pueden invocar legítimamente algunos de estos comandos.

Por lo tanto, las excepciones deben basarse en rutas de proceso conocidas, software firmado, cuentas de servicio y programaciones esperadas.

Valor de la correlación

El reducido número de resultados en la fuente hace que esta regla sea útil para la revisión manual.

Una cadena especialmente preocupante podría ser:

volcado de credenciales → ejecución remota → instantáneas eliminadas → registros borrados

Esta correlación puede ayudar a distinguir la administración aislada de la actividad maliciosa coordinada.

Valor operativo

La detección de ransomware no debería comenzar solo cuando el cifrado ya es visible. Monitorizar el comportamiento de inhibición de la recuperación puede proporcionar señales más tempranas y ayudar al SOC a responder antes de que se complete la fase final de impacto.