¿Qué buscarías para cazar un ransomware antes de que empiece el cifrado?

El cifrado es el último paso, así que apunta a las fases previas: acceso inicial por servicios remotos expuestos o phishing, volcado de credenciales, movimiento lateral hacia un controlador de dominio, comandos de descubrimiento y evasión de defensas como desactivar las herramientas de seguridad. Entre las pistas de más valor están el borrado de las instantáneas de volumen, la manipulación de agentes de backup, el acceso masivo a ficheros desde un solo host y una tarea programada o un cambio de política que empuja un ejecutable a muchas máquinas.

Para cuando los ficheros se están cifrando ya has perdido, así que yo detecto los días anteriores. La cadena suele ser acceso por un servicio remoto expuesto o un payload de phishing, luego robo de credenciales, luego movimiento hacia un controlador de dominio y luego preparación. Las señales de mayor fidelidad sobre las que he alertado son el borrado de instantáneas con vssadmin o wmic, la manipulación o parada de la protección de endpoint y de los agentes de backup, y las ráfagas de descubrimiento: enumerar administradores de dominio, nltest y enumeración de recursos compartidos desde una estación de trabajo que nunca lo ha hecho. Las lecturas y renombrados masivos de ficheros por SMB desde un solo host son una señal tardía pero todavía accionable. El despliegue suele ser una tarea programada o un cambio de directiva de grupo que empuja un ejecutable a todas partes, así que vigilo de cerca las modificaciones de política, porque ese es el punto donde un host se convierte en ochocientos. Si veo borrado de instantáneas no espero a confirmar nada. Aíslo de inmediato y escalo, porque el coste de equivocarme es un usuario molesto frente a una caída de toda la empresa.