El mes pasado,
Guardicore Labs proporcionó respuesta de incidentes ante un ataque que golpeó a una empresa mediana en el sector de tecnología médica.
La red de la víctima estaba infectada con malware, ocultando un Monero cryptominer dentro de los archivos WAV. El atacante intentó propagarse dentro de la organización infectando máquinas que ejecutan Windows 7, sistema operativo que hoy 14 de enero llega a su fin de vida útil, explotando la agresiva vulnerabilidad EternalBlue.
En su investigación, el equipo describe sus esfuerzos en varios vectores: detección, infección, propagación de red y análisis de malware. También comparten recomendaciones para optimizar los procesos de respuesta a incidentes en los centros de datos.
El ataque se limpió eliminando el malware, finalizando los procesos maliciosos y eliminando las claves de registro que contienen las cargas binarias. Poco después de estos pasos, todos los indicadores de compromiso (pantallas azules, comunicación de red sospechosa, procesos Powershell, etc.) dejaron de aparecer.
Como dice el cliché común, hay dos tipos de empresas: las que han sido hackeadas y las que aún no saben que han sido hackeadas. Esto significa que, tarde o temprano, es probable que un centro de datos sea atacado e infectado con malware. Sin embargo, la respuesta al incidente puede ser bastante compleja.
Las siguientes recomendaciones de Guardicore Labs pueden ayudar a facilitar el proceso de investigación y remediación en esos momentos críticos:
Registros
- Para salvaguardar los registros, las organizaciones deben habilitar el reenvío de registros en máquinas con Windows y Linux a servidores centralizados y reforzados. Microsoft proporciona guía para esto y Palantir proporciona muchos ejemplos y programas de ayuda.
- Crash Dumps
- Del mismo modo, la configuración del sistema para guardar los Crash Dumps completos puede ser útil en el análisis de los ataques que causan este tipo de fallos del proceso. Microsoft proporciona ayuda para configurar este ajuste.
- ¡No tocar!
- Por último y lo más importante, aunque su instinto inmediato puede ser limpiar las máquinas infectadas, debe aislar y mitigar, pero no destruir evidencia valiosa de la investigación. Consulte con profesionales en respuesta a incidentes antes de hacer cualquier cosa.
