// Incidente de la semana
Severidad: Crítica #4 · 2026-08-31

vssadmin borra las shadow copies y los ficheros mutan en masa

Señales

  • El EDR marca «vssadmin delete shadows /all» en un servidor de ficheros
  • Volumen altísimo de modificaciones y renombrados de archivos en minutos
  • Se detuvo el servicio de backup
  • Una extensión nueva aparece en cientos de archivos

¿Cuál es tu primera acción?

▸ Ver la resolución (razonamiento, evidencia, MITRE, detección)
  • A) Un análisis AV es lento y el cifrado sigue ocurriendo mientras escanea; no detiene el daño.
  • B) ✅ Correcto. Es ransomware en curso: cada segundo son más archivos y puede propagarse por SMB. Aislar el host (no apagarlo: perderías memoria/evidencia) corta la hemorragia mientras investigas. Aquí SÍ se contiene primero.
  • C) Restaurar antes de contener puede volver a cifrarse; primero corta la propagación y confirma el alcance.
  • D) Resetear la contraseña no detiene un proceso de cifrado ya en marcha.
Por qué

Regla de triage que muchos confunden: normalmente se acota antes de contener… salvo cuando el daño es ACTIVO y se propaga. Borrado de instantáneas (vssadmin) + modificaciones masivas + parada del backup = ransomware ejecutándose AHORA. La prioridad es cortar la propagación: aísla el host de la red (sin apagarlo), luego identifica la cepa, el paciente cero y el alcance por SMB.

Evidencia dónde mirar
  • EDR/Sysmon: vssadmin/wbadmin/bcdedit, wmic shadowcopy delete
  • Registro 4104 / línea de comandos con el borrado de shadows
  • Picos de escritura y renombrado masivo; conexiones SMB salientes del host
MITRE ATT&CK
T1490 Inhibit System Recovery T1486 Data Encrypted for Impact T1489 Service Stop
Cómo detectarlo

Regla para vssadmin/wbadmin/bcdedit delete + parada de servicios de backup + tasa anómala de escritura de archivos; correlaciona con propagación SMB.

Practícalo aquí
Event 7045 (servicio nuevo)Analizador de LogsSigma Forge
Compártelo como reto y publica luego la resolución.

Incidentes anteriores

#6 · Un empleado que se va descarga 4 GB a las 2:00 #5 · Un ${jndi:ldap://…} en el User-Agent contra una app Java #3 · Un login correcto entre 47 fallidos… y una app OAuth nueva #2 · MFA aprobado, pero el mismo usuario en dos continentes #1 · Una tarea programada lanza powershell -enc cada hora