Caza avanzada en Microsoft Defender XDR para detectar indicios de ransomware

La documentación de Microsoft muestra, a través de consultas advanced hunting que se pueden ejecutar en Defender XDR (y Microsoft Sentinel), cómo detectar de forma activa comportamientos previos que son habituales en ransomware. Los objetivos incluyen acciones realizadas antes del cifrado, como la detención de procesos y la deshabilitación de servicios, la eliminación de shadow copies y copias de seguridad, el borrado de registros de eventos y cambios en la configuración de arranque.

El texto presenta varios ejemplos concretos de consultas Kusto (KQL) para detectar indicadores individuales. Por ejemplo, ofrece una consulta para detectar 10 o más detenciones de procesos realizadas por taskkill.exe, otra para detecciones similares con net stop, una para identificar operaciones de cipher.exe con la opción /w que borran múltiples unidades en un corto periodo, y una consulta para detectar más de 10 borrados de registros con wevtutil, entre otras.

Además, dado que las detecciones aisladas tienden a generar falsos positivos, se propone una "consulta integrada" que pondera y agrega múltiples indicadores para comprobar si varios signos de ataque aparecen en el mismo equipo y así priorizar los equipos más relevantes. La documentación está pensada para copiar y ejecutar cada consulta directamente en el editor de advanced hunting de Microsoft.

Como advertencia, muchos de los comportamientos descritos también pueden producirse durante tareas administrativas legítimas, por lo que se recomienda verificar que varios indicadores coincidan en el mismo equipo. También se indica que el acceso al documento requiere autenticación y que la ejecución de las consultas necesita un entorno Defender XDR y los permisos adecuados.