Los operadores de ransomware desactivan EDR, software de respaldo y telemetría de Windows antes del cifrado

Los equipos de ransomware intentan cada vez más cegar a la víctima antes de cifrar algo. El análisis muestra que los atacantes pueden desactivar las herramientas de respuesta y detección de endpoints, interrumpir la telemetría de Windows y apuntar a los servicios de respaldo para reducir la posibilidad de que los defensores detecten o contengan la intrusión a tiempo.

Los analistas de Picus Security identificaron un patrón compartido: los operadores de ransomware dependen de métodos sigilosos y de deterioro de la defensa después de lograr un punto de apoyo. Los operadores de ransomware desactivan EDR BabLock ilustra el peligro de esa secuencia. Los equipos deben probar si sus controles detectan y bloquean intentos de detener servicios, borrar registros, alterar la telemetría de Windows, inyectar en procesos o ejecutar programas de sistema confiables. El registro centralizado a prueba de manipulaciones puede preservar la evidencia cuando se borra un registro local de Windows, mientras que las alertas sobre detenciones inusuales del servicio, intentos de desinstalación de herramientas de seguridad y cambios en las funciones de telemetría pueden revelar la fase de preparación del ataque.

Los equipos de seguridad deben ensayar acciones de respuesta, revisar qué herramientas pueden modificar la protección de los endpoints y garantizar que las copias de seguridad se puedan recuperar bajo presión. Detenga el phishing y el malware nuevos antes de que comprometan su negocio. Integre información en vivo de 15.000 SOC en todo el mundo La publicación Los operadores de ransomware deshabilitan EDR, el software de respaldo y la telemetría de Windows antes del cifrado apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗