Defender de Microsoft interrumpió exitosamente un incidente de ransomware humano operado que se dirige hacia una gran institución educativa con más de dos mil dispositivos. El ataque involucró el uso de GPOs para alterar controles de seguridad y desplegar ransomware a través de tareas programadas. La tecnología de protección predictiva de Defender detectó el ataque antes de que se implementara ningún ransomware, endureciendo proactivamente 700 dispositivos contra la propagación maliciosa de GPOs. Esta acción preventiva bloqueó aproximadamente el 97% de los intentos de cifrado del atacante, asegurando que ninguna máquina fue cifrada a través del camino de GPO.
Este estudio resalta el panorama amenazador en constante evolución donde los operadores modernos de ransomware emplean métodos sofisticados como abusar de herramientas administrativas como los GPO para desactivar medidas de seguridad y distribuir malware en escala. El incidente involucró una serie de pasos, incluyendo acceso inicial, reconocimiento, escalada de privilegios, acceso a credenciales, movimiento lateral y finalmente el uso de GPOs para la distribución del ransomware.
El atacante comenzó desde un dispositivo no administrado y obtuvo privilegios de Administrador del Dominio. Realizó reconocimientos utilizando AD Explorer y llevó a cabo ataques por fuerza bruta para mapear el entorno. Defender generó alertas durante estas actividades. Posteriormente, el atacante obtuvo múltiples credenciales de alta privilegiación a través de operaciones de Kerberoasting y descarga de NTDS, estableciendo persistencia creando cuentas locales en sistemas comprometidos.
La interrupción de la acción del ataque por Defender bloqueó cinco cuentas comprometidas, significativamente restringiendo el movimiento lateral del atacante y ralentizando la progresión total del ataque. Al emplear GPOs para la distribución del ransomware justo antes de su implementación, el atacante intentó evadir la detección. Sin embargo, la tecnología de protección predictiva de Defender interceptó estas acciones, preveniendo cualquier actividad de cifrado.
Este estudio subraya la importancia de soluciones de protección anteravíspera avanzadas que pueden prevenir y predecir ataques antes de que lleguen a su ejecución, garantizando así la seguridad de activos críticos y minimizando el daño potencial.