Contencion de malware propagado por Outlook en empresa con 40 equipos comprometidos
Empresa de servicios (confidencial) · Servicios empresariales
Resultados obtenidos
El desafío
Un malware de tipo troyano se distribuyo masivamente a traves de la libreta de contactos de Outlook de un ejecutivo. En menos de 48 horas, mas de 40 equipos en la red local ejecutaron el adjunto malicioso. El malware establecia conexiones salientes cifradas, exfiltraba archivos recientes y deshabilitaba el antivirus del endpoint.
La solución
Ejecutamos un proceso de respuesta a incidentes en tres fases: contencion inmediata (aislamiento de equipos comprometidos y bloqueo de trafico C&C), analisis forense (identificacion del vector, alcance de la exfiltracion y persistencia) y remediacion (limpieza de equipos, hardening de politicas de email y endpoint, e implementacion de filtrado de adjuntos).
El vector: El adjunto llego como respuesta a un hilo de correo legitimo existente. El remitente era una direccion conocida, el asunto coherente con conversaciones reales. En realidad era un ejecutable con extension doble e icono de PDF manipulado. El malware accedio a la libreta de contactos de Outlook y se autoreenvio a todos los contactos. Fase 1 - Contencion: Identificacion de equipos comprometidos via logs del firewall. Aislamiento en VLAN de cuarentena. Bloqueo de trafico C&C. Revocacion de credenciales de usuarios afectados en Active Directory. Fase 2 - Forense: Comportamiento exacto del malware, alcance real de la exfiltracion y vectores de persistencia. El malware priorizaba documentos Office, PDFs y archivos del escritorio de los ultimos 30 dias. Fase 3 - Remediacion: Limpieza de 40+ equipos. Reglas de filtrado de adjuntos en servidor de correo. Politicas de grupo para deshabilitar ejecucion de adjuntos desde Outlook. EDR en todos los endpoints. Capacitacion al personal. Resultado: Contencion completa en 4 horas. Cero reinfecciones en el seguimiento de 6 meses.
¿Tu empresa tiene un desafío similar?
Cuéntanos tu situación y te mostramos cómo podemos ayudarte.
Hablar con un especialista