⭐ DestacadoUna empresa de desarrollo de software con sede en Madrid, ha sufrido un ciberataque masivo. El incidente fue descubierto el 15 de enero de 2025, cuando los empleados intentaron acceder a sus sistemas y encontraron un mensaje en todas las pantallas: «Tu información es nuestra.
Sigue las instrucciones para recuperarla.» El ataque no solo ha paralizado las operaciones de la empresa, sino que ha comprometido la información confidencial de sus clientes y el código fuente de un proyecto de alto valor, «Project Aurora,» que estaba a punto de ser lanzado.
Descripción del Escenario
Víctima: TexaSOL S.L. Fecha del Incidente (descubrimiento): 15 de enero de 2025, a las 8:30 a.m. Activos Afectados:
- Servidores de producción (IP: 192.xxx.x.xxx)
- Servidor de base de datos (IP: 192.xxx.x.51)
- Estaciones de trabajo de los desarrolladores (aproximadamente 50 equipos)
- Servidor de control de versiones (GitLab)
- Sistemas de backup
El ataque parece ser un ransomware sofisticado. Todos los archivos han sido cifrados con la extensión .texasol_locked y el mensaje de rescate solicita 10 bitcoins a una cartera específica. Los atacantes también afirman haber exfiltrado 500 GB de datos, incluyendo la propiedad intelectual de «Project Aurora.»
Sospechosos y Evidencia Preliminar
- Marcos Valdés: Un desarrollador senior que fue despedido hace tres semanas por bajo rendimiento y actitud conflictiva. Se sabe que estaba trabajando en el código de «Project Aurora» y tenía acceso privilegiado a los sistemas de producción. Durante su salida, se negó a devolver su portátil de la empresa.
- Competencia (CyberCorp): Texasol y CyberCorp son rivales directos. Se sospecha que CyberCorp ha intentado previamente contratar a personal clave de Texasol y se rumorea que su nuevo producto es muy similar a «Project Aurora.»
- Grupo de Hacking (ShadowSec): Un grupo de ciberdelincuentes conocido por sus ataques de ransomware dirigidos. Su método de ataque y el mensaje de rescate coinciden con su modus operandi.
Tareas para los Peritos y Forenses
1. Informática Forense Digital:
- Análisis del servidor de producción: Deben crear una imagen forense del servidor afectado. La tarea principal es identificar el punto de entrada inicial del ataque. Se debe buscar en los registros del servidor (logs de acceso web, logs de sistema, etc.) para detectar actividades anómalas, como conexiones desde IPs no autorizadas o el uso de credenciales comprometidas.
- Análisis de una estación de trabajo: Es crucial realizar una copia forense de un equipo afectado al azar (por ejemplo, el del desarrollador principal del proyecto, Ana Gómez). Se debe buscar malware, archivos temporales, historiales de navegación y cualquier rastro de ejecución de scripts sospechosos que pudieran haber sido utilizados para propagar el ransomware o para la exfiltración de datos.
- Análisis de los sistemas de backup: Los sistemas de backup también fueron cifrados. Es necesario determinar cómo los atacantes lograron acceder a ellos y si existe alguna copia de seguridad que no haya sido comprometida.
- Análisis de la red: El equipo de forenses de red debe examinar el tráfico de la red corporativa. Se deben buscar paquetes de datos sospechosos, conexiones salientes a servidores externos desconocidos y el tráfico de exfiltración de datos.
- Análisis del correo electrónico: La empresa utiliza un servicio de correo interno. Se debe buscar si algún empleado recibió un correo electrónico de phishing que pudiera haber sido el vector inicial del ataque.
2. Forense de la Evidencia Física:
- Análisis del portátil de Lorenzo gracia: La policía ha recuperado el portátil que Marcos Valdés se llevó. El equipo forense debe realizar una adquisición forense completa del dispositivo. Se debe buscar en el disco duro rastros de herramientas de hacking, logs de conexión a la red de Texasol fuera del horario laboral, o copias de código de «Project Aurora.»
- Análisis de los dispositivos de almacenamiento: Se deben examinar los discos duros externos, pendrives o cualquier otro medio de almacenamiento que se encuentre en las oficinas para descartar el acceso físico no autorizado.
3. Tareas Adicionales:
- Identificación del ransomware: El equipo forense de malware debe analizar el ejecutable del ransomware para identificar la variante, buscar posibles fallos en el cifrado que permitan la recuperación de los archivos, y determinar la dirección de la cartera de bitcoins para su rastreo.
- Rastreo de la cartera de bitcoins: Utilizando herramientas de análisis de blockchain, se debe intentar rastrear la cartera de bitcoins para ver si ha habido transacciones recientes y si el dinero se ha movido a otras carteras.
Este caso presenta múltiples vectores de investigación que requieren la intervención de expertos en diversas áreas, desde la informática forense hasta el análisis de malware y el rastreo de criptomonedas. Los detalles proporcionados permiten a los peritos construir una línea de tiempo del ataque, identificar a los posibles autores y reunir la evidencia necesaria para una acusación legal.
Dicho esto, necesitamos ayuda externa para solventar el problema de forma rápida. La unidad de la policía de ciberdelincuencia esta tardando por los procesos y ordenes judiciales que se deben solicitar, y el tiempo juega en nuestra contra, de ahí la solicitud de ayuda externa.
