128 segundos antes del desastre: Microsoft Defender detuvo a los extorsionadores en el último instante.

A veces, en la defensa contra un ciberataque lo decisivo no son las acciones humanas, sino la velocidad de los sistemas automáticos de protección. Así fue en la empresa QNET —jugador global en el mercado de ventas directas con un equipo distribuido y un pequeño centro de monitoreo de seguridad. Microsoft Defender, desplegado en la infraestructura de la compañía, en solo 128 segundos detuvo el ataque en el ordenador de un empleado, aislando el dispositivo antes de que los atacantes pudieran afianzarse en el sistema.

El ataque comenzó cuando un empleado abrió un archivo malicioso, presuntamente recibido por correo o a través del navegador. A continuación, ese archivo ejecutó mshta.exe —un componente estándar de Windows que los atacantes suelen usar para ejecutar código de forma encubierta y eludir las protecciones. A través de mshta.exe, el programa contactó con el servidor de los atacantes y descargó una segunda carga maliciosa.

Al mismo tiempo Defender detectó actividad sospechosa mediante dos mecanismos independientes: uno registró cambios inusuales en el registro, el otro reconoció en el comportamiento indicios de un ataque real, no de un uso inocuo de una herramienta del sistema. Al correlacionar las señales y alcanzar un umbral de alta confianza, el sistema decidió aislar el equipo afectado.

En unos segundos Defender inició automáticamente el aislamiento —el mismo procedimiento que normalmente realiza manualmente un especialista en seguridad. El equipo perdió acceso a la red, conservando únicamente la comunicación con los servicios de Defender. La conexión con el servidor de los atacantes se cortó de inmediato, y todo el proceso desde la primera señal hasta la finalización del aislamiento duró 128 segundos.

Sin la intervención automática, la demora en la investigación podría haber dado tiempo a los atacantes para afianzarse en el sistema, robar credenciales y desplegar la segunda carga. Tras el aislamiento del equipo nada de ello ocurrió: el proceso iniciado a través de mshta.exe no pudo continuar ni establecerse en el sistema.

No se registraron indicios de movimiento de los atacantes a otros dispositivos ni antes ni después del bloqueo; el incidente quedó confinado a un solo ordenador. El especialista que llevó a cabo la investigación se conectó ya después del aislamiento del equipo y obtuvo una cronología detallada de los eventos.

Para reducir riesgos similares, se recomienda a las empresas habilitar las funciones de respuesta automática a ataques, incluido el aislamiento de dispositivos, en las soluciones de protección de endpoints y configurar exclusiones para servicios críticos, de modo que el aislamiento no interfiera con el funcionamiento de sistemas necesarios.