Cómo detiene Acronis un ataque de ransomware. Paso a paso.
Seguimos un ataque real de Akira - uno de los grupos de ransomware más peligrosos del mundo - y mostramos dónde Acronis detiene cada paso.
¿Están listos para esta llamada?
Así suena cuando Akira acaba de atacar a su cliente más grande.
Son las 08:50. Akira ya lleva 11 días en la red.
La pregunta no es si la llamada llegará, sino si están preparados cuando lo haga.
Conozca a Akira
Uno de los grupos de ransomware más rentables actualmente.
Crece rápidamente. Se dirige a empresas medianas y grandes.
Akira a menudo logra robar datos antes de que su equipo de seguridad pueda reaccionar.
Akira no es solo un grupo de hackers, es toda una organización. Técnicos, comerciales y negociadores trabajan en paralelo. Para detenerlos, necesita cobertura en todos los niveles.
Así es como el atacante obtiene su primera clave.
- 1Un inicio de sesión falso de Microsoft engaña al usuario para que revele la contraseña.
- 2Con la cuenta, el atacante accede a Microsoft 365 y a sus espacios compartidos.
- 3Se colocan archivos maliciosos en SharePoint, que parecen internos.
- 4Los colegas hacen clic y entregan sus contraseñas. El atacante obtiene un acceso más amplio.
Email Security & Collaboration App Security
Detiene el phishing y el malware en el correo electrónico, Teams, SharePoint y OneDrive, antes de que alguien pueda hacer clic.
Usa sus propias herramientas en su contra.
Akira utiliza herramientas de TI completamente normales que ya están en su organización. Esto las hace difíciles de detectar.
Mapea la red
Herramientas de TI comunes mapean su red en silencio.
Salta entre sistemas
Herramientas de Windows mueven al atacante entre servidores.
Roba contraseñas
Las contraseñas se extraen de Active Directory.
Así es como el atacante desactiva su protección.
- 02:14:03Defender deshabilitado...
- 02:14:47Proceso EDR eliminado...
- 02:15:12Controlador vulnerable cargado...
- 02:15:38Registros de seguridad borrados...
Las alarmas se han silenciado. El atacante trabaja sin ser molestado durante horas.
Una alarma sin nadie que escuche es inútil. Lo que marca la diferencia es que la alarma no se puede silenciar, y que alguien realmente responde.
"Se ha observado que los afiliados de Akira deshabilitan las herramientas de detección de puntos finales a los pocos minutos del acceso inicial, a menudo durante los fines de semana y las horas nocturnas."
El arma real.
Todo lo que pueda usarse para obligarle a pagar.
Dos facturas por ataque: una para desbloquear archivos, otra para no filtrarlos.
Los datos se filtran a través de servicios en los que ya confía. El firewall no ve nada extraño.
El robo de datos es la verdadera amenaza hoy en día. La copia de seguridad salva las operaciones, pero no la filtración. Cuando los datos se filtran, el reloj del GDPR empieza a correr.
Calcular sus multas GDPREl objetivo: Que no tenga otra opción.
Akira destruye todas sus copias de seguridad antes de que se inicie el cifrado. O paga, o lo pierde todo.
Elimina copias en la sombra
Los puntos de restauración de Windows se eliminan.
Deshabilita los servidores de copia de seguridad
Los servidores de copia de seguridad locales son atacados.
Cifra todo
Ransomware desplegado en los sistemas.
Copias de seguridad en la nube bloqueadas
Separadas de la red. No se pueden eliminar, ni siquiera por el administrador.
Así es como detiene al atacante en medio del ataque.
Una consola. Un agente
Una única consola y un agente por equipo. Lo ve todo en el mismo lugar.
Detiene procesos
Detenga programas sospechosos y conexiones no autorizadas directamente.
Aísla máquinas
Corte las conexiones del atacante y aísle las máquinas afectadas de la red, con un solo clic.
Sin una plataforma unificada persigue al atacante a ciegas, a través de cientos de computadoras, con diferentes herramientas. Cuando cada segundo cuenta, los sistemas dispersos son el mejor amigo del atacante.
De la copia de seguridad a la operación en minutos.
Los servidores se inician directamente desde la copia de seguridad en la nube. Disponibles en minutos, no en días.
La diferencia entre minutos y días de inactividad.
Por eso funciona como un todo.
Cada capa envía señales. El equipo de MDR las conecta y actúa las 24 horas del día. Juntos, el atacante no tiene dónde esconderse.
| Capa | Producto Acronis | Capacidad | Fase cubierta |
|---|---|---|---|
| Punto final | Acronis XDR | Detección, protección, telemetría de comportamiento | Fase 2, 3, 4, 5 |
| Operación y respuesta a incidentes | Acronis RMM | Gestión remota, parches, respuesta a incidentes | Fase 6 |
| Correo electrónico y colaboración | Email & Collaboration Security | Detiene el phishing y el malware en el correo electrónico y las áreas compartidas | Fase 1 |
| De vuelta en funcionamiento | Backup + Disaster Recovery | Copia de seguridad en la nube, inicio rápido, VPN desde el entorno de reserva | Fase 5, 7 |
| Monitoreo | 24/7 MDR Integration | Análisis de alertas y respuesta activa 24/7 | Todas las fases |
Seis cosas que tener en cuenta.
Proteja la entrada
El phishing es la vía de entrada más común. La protección del correo electrónico no es negociable.
De vuelta en funcionamiento = menor impacto comercial
Los atacantes usan sus propias herramientas. Solo el análisis de comportamiento los revela.
El robo de datos es la verdadera amenaza
El cifrado no es lo peor. Los datos robados generan multas GDPR y daños a la reputación a largo plazo.
Calcule sus multasMantenga las copias de seguridad fuera del alcance
Lo que no pueden alcanzar, no pueden destruir. Las copias de seguridad en la nube bloqueadas son su última línea de vida.
Un agente. Visión completa.
Una plataforma unificada le da a su equipo la velocidad y la visión general necesarias para detener el ataque.
De vuelta en funcionamiento = impacto comercial
Cada hora de inactividad cuesta dinero. El entorno de recuperación lo mantiene en funcionamiento mientras reconstruye en segundo plano.
Run the same playbook our partners use at 03:14
Step-by-step incident response built on the battle-tested stack. Free PDF, no fluff.
Proteja a sus clientes con Gridheart × Acronis.
Una pila probada en batalla del distribuidor de Acronis en los países nórdicos. En funcionamiento en minutos, no en meses.
¿Quiere esta pila en su negocio?
Gridheart trabaja a través de distribuidores seleccionados. Le ponemos en contacto con un socio que se ajuste a su sector y tamaño.