Microsoft Defender aisló en 128 segundos un equipo atacado con ransomware en QNET

Microsoft publicó el 4 de agosto un análisis sobre un incidente de ransomware en QNET en el que Microsoft Defender interrumpió la intrusión mediante el aislamiento automático del dispositivo comprometido. Según la compañía, transcurrieron 128 segundos desde la primera alerta de alta gravedad hasta que el equipo quedó aislado, lo que detuvo la cadena de ataque antes de que la segunda fase pudiera establecer persistencia o extenderse a otros sistemas.

El ataque comenzó con el acceso inicial directamente en un endpoint. La secuencia empleó una herramienta legítima de Windows para recuperar una carga remota maliciosa, una técnica conocida como living off the land (LOL), en la que los operadores abusan de componentes disponibles en el sistema para reducir la visibilidad de sus acciones y evitar controles tradicionales.

Microsoft describe QNET como una compañía global de venta directa, con una plantilla distribuida y un centro de operaciones de seguridad reducido. La organización utiliza Defender con la función de interrupción de ataques activada y delega en esta capacidad la gestión de los primeros minutos de los incidentes de alta gravedad, mientras los analistas se concentran en determinar la causa raíz y aplicar medidas de recuperación.

En este caso, Defender correlacionó señales de distintas fases del ataque y aplicó automáticamente el aislamiento del dispositivo. La respuesta bloqueó la conectividad de red externa del endpoint, aunque mantuvo el acceso a los servicios de seguridad necesarios, como Microsoft Defender for Endpoint. La función también permite aislamiento selectivo, con servicios o exclusiones definidos por el cliente.

El aislamiento automático está limitado al dispositivo afectado, tiene una duración acotada y permanece bajo control del operador. Los equipos de seguridad pueden revisar el contexto del incidente, ejecutar acciones posteriores y retirar manualmente el aislamiento cuando consideran que el sistema vuelve a estar en condiciones seguras.

Microsoft sostiene que esta medida aborda una limitación de las respuestas centradas únicamente en la identidad del usuario. Cuando el código malicioso ya se ejecuta en el endpoint, el atacante puede operar localmente, desplegar mecanismos de persistencia, robar credenciales o inyectarse en procesos sin necesidad de iniciar de inmediato un movimiento lateral. En esos escenarios, contener solo la cuenta comprometida puede dejar abierto el dispositivo como punto de apoyo.

El aislamiento del endpoint pretende cortar de forma simultánea varias vías de actividad: el movimiento lateral, las comunicaciones de mando y control, el robo de credenciales y la propagación rápida del cifrado. Microsoft lo plantea como un control complementario a la contención del usuario, ya que ambos mecanismos cubren debilidades diferentes durante una intrusión.

La compañía diferencia esta respuesta automática de los procedimientos basados en reglas estáticas y manuales, que dependen de alertas individuales, playbooks y ajustes operativos. Attack disruption utiliza correlación asistida por inteligencia artificial y análisis en tiempo real para identificar ataques multietapa y actuar únicamente cuando alcanza un veredicto de alta confianza. Microsoft indica que el umbral se mantiene con una precisión del 99%.

En el incidente de QNET, la intervención autónoma evitó, según Microsoft, que la carga de segunda fase llegara a desplegar persistencia y robo de credenciales. La empresa considera que el ahorro de tiempo frente a una intervención humana fue determinante para contener la ejecución inicial basada en una herramienta legítima de Windows antes de que el ataque pudiera evolucionar.

La información procede del análisis publicado por Microsoft Security Research: “128 Seconds to disruption: Microsoft Defender stops ransomware at QNET”.

Fuente: Microsoft MSRC