Memorias de un perito forense Vol. IV+I: ¿cómo entró el ransomware?

Ajá este st no memorias de un perito informático forense volumen cuatro más uno conocéis bien conocido os dejo mi correo por si cualquiera me quiere escribir cualquier cosa a posteriori y es una charla de peritaje bueno no respuesta ante incidentes respuesta ante incidentes al final incluye el llevar a cabo técnicas forenses pero rápido y urgente vale los incidentes de seguridad no esperan justo esta mañana vaya un tweet que me ponía selva orejón que la la digamos ley de desconexión de las personas a partir de qué hora mira esto no no no va con este trabajo vale el que quiera hablar de respuesta ante incidentes sabe que es ni horario son eso está hecho para autónomos vamos a hablar de ramson wert vale pero no voy a vender o sonante virus no va de eso esta charla no no va de una charla típica al uso de ransomware sino que voy a hablar de dos casos en los cuales ha habido ransom web como un incidente de seguridad y cómo se resolvieron si es que se resolvieron pero lo que me interesa es generar el mensaje de dos casos muy similares con dos clientes muy distintos que querían dos cosas muy diferentes y que lo enfocaron de una forma muy diferente incidentes de seguridad un poco r repaso vale que es pues desde un compromiso un sistema robo de información de alguien accede desde fuera y se lo lleva un insider es decir una fuga alguien que desde dentro se lleva la información y la vende a la competencia vale un facebook de una página web alguien que compromete un sistema y manipula y modifica destruye una app una advanced persistent threat algo hecho de forma conciencia y aplicando diferentes técnicas de hacking una denegación de servicio y por supuesto ransom vale al fin y al cabo es destrucción de información indisponibilidad de recursos de una organización por lo tanto si es un incidente de seguridad entonces aplicamos lo que se llama decir no digital forensic incident response al final es digital forensic está hay análisis forense y lo que nos van a pedir al final es usar el word y explicar en síntesis qué pasó cómo pasó por supuesto la gente quiere hasta la dirección de casa el número de teléfono y el número del dni de la persona que te ha hecho algo en concreto cuando les dices mira yo hasta ahí no puedo llegar pues ya se les pasa y cuándo o desde cuándo vale de hecho siempre hay una frase que me gustó mucho que lo vi no es mía pablo sino que cito la fuente es de un piper d'alembert es no te breeze is an emergency bath en i ching can wang es decir no no todo es una emergencia pero cualquier cosa podría llegar a serlo bueno entonces sí que es importante desde el punto de vista de no digamos subestimar algo que a alguien se le mueven unos iconos en el escritorio que los usuarios ya sabéis que dicen cosas no de esto si es que se me han movido solos de hostias algo habrás hecho no no te juro que se mueven solos digo pues es que igual hay que hacerles caso a los usuarios cuando te dicen que los conocen les mueven solos entonces para mí un incidente de seguridad es algo como esto vale es decir un fuego es decir una hecatombe una crisis del copón y ahí es cuando tiene que venir pues un equipo de respuesta ante incidentes o por lo menos al menos un espartano que vaya a solucionar a poner la cara que es lo que se puede que es lo que se puede hacer dos casos diferentes ó dos formas en las cuales nos podemos enfrentar a un incidente de seguridad en el cual se requiere conocimientos y aplicación análisis forense cuando la máquina está viva siempre tenemos que tener en cuenta una máxima si la máquina si la máquina está viva no la pagues si la máquina está muertas pagada no la enciendas porque en cualquiera de los dos casos destruyese evidencia menos no la apagues hasta que hayas extraído las evidencias más volátiles que se van a ir al garete cuando tires del cable de corriente bien como decíamos qué le vamos a sacar una memoria cuando está viva a una persona una máquina cuando está viva por orden de volatilidad la memoria ram eso es una fuente descomunal de evidencias que incluso solamente teniendo una memoria podemos sacar un