Un usuario buscó información sobre Dynamics 365. Menos de 30 segundos después, los atacantes ya habían logrado establecer persistencia en su equipo. Veintiséis horas después, ya se estaban moviendo por los sistemas más sensibles de la organización, una velocidad que muestra cómo se ha reducido el tiempo de reacción disponible para los equipos de tecnología.
La secuencia fue documentada por investigadores de Sophos tras analizar una operación del grupo de ransomware Interlock, una banda criminal que ha ganado notoriedad por atacar organizaciones de infraestructura crítica, salud y educación en Norteamérica y Europa.
Lo que llamó la atención de los analistas no fue únicamente la velocidad del ataque, sino que Interlock utilizó herramientas legítimas empleadas habitualmente por equipos de respuesta a incidentes y análisis forense digital. Entre ellas aparecen Volatility3 y WinPmem, aplicaciones diseñadas para examinar la memoria de sistemas comprometidos. En manos equivocadas, sirvieron para extraer credenciales, hashes de contraseñas e información de usuarios.
El caso encaja con una tendencia que los equipos de respuesta a incidentes están viendo con mayor frecuencia. Los atacantes cada vez dependen menos de software especialmente diseñado para hackear sistemas y más de credenciales robadas, herramientas legítimas y accesos válidos. Según el Sophos Active Adversary Report 2026, el 67% de los incidentes investigados durante el último año tuvo su origen en ataques relacionados con identidad digital, cuentas comprometidas o fallas en los mecanismos de autenticación.
El punto de entrada fue una técnica de ingeniería social conocida como ClickFix, en la que el usuario fue convencido de ejecutar manualmente un comando que descargó código malicioso y abrió la puerta al acceso remoto. Cinco segundos después de que el usuario ejecutó el comando ya existían evidencias de manipulación del dispositivo. Menos de medio minuto después, los atacantes habían logrado establecer persistencia en el equipo.
La investigación revela un problema creciente para los equipos de ciberseguridad: las señales de ataque son cada vez más difíciles de distinguir cuando los delincuentes utilizan software legítimo, procesos autorizados y herramientas comunes de administración.
Para las empresas, la lección va más allá del ransomware. Los investigadores encontraron que varios de los factores que ampliaron el impacto del ataque no estuvieron relacionados con técnicas sofisticadas, sino con tareas básicas de gestión tecnológica: equipos sin protección activa, inventarios incompletos y respaldos que no pudieron utilizarse cuando fueron necesarios.
A partir de este caso, los especialistas recomiendan revisar cuatro puntos críticos:
1. Autenticación multifactor para usuarios y administradores. Las credenciales siguen siendo una de las principales puertas de entrada para los atacantes.
2. Monitoreo permanente de los dispositivos conectados a la red. Un equipo sin protección o mal configurado puede convertirse en el punto de acceso inicial.
3. Pruebas periódicas de respaldo y recuperación. Tener copias de seguridad no garantiza que funcionen cuando ocurre una crisis.
4. Control sobre herramientas legítimas de administración y análisis. Aplicaciones creadas para tareas técnicas pueden ser aprovechadas por grupos criminales para ocultar sus movimientos.
La urgencia de estas medidas se explica por la velocidad con la que operan los grupos criminales. Datos de Sophos muestran que los atacantes tardan en promedio apenas 3,4 horas en intentar alcanzar Active Directory una vez logran ingresar a una red corporativa.
Interlock lleva menos de dos años en escena, por lo que su evolución preocupa a los expertos porque combina robo de información, cifrado de sistemas, explotación de vulnerabilidades de día cero y abuso de herramientas legítimas. Una mezcla que vuelve más difusa la frontera entre actividad administrativa normal y un ataque en curso. Para los equipos de seguridad, eso significa detectar amenazas cada vez más rápido y con menos señales evidentes de que algo está ocurriendo.
Fuente: sophos.com
