Cómo saber si un ransomware está cifrando tus archivos

Las señales tempranas, en el orden en que suelen llegar

El cifrado hace ruido si sabes qué escuchar. Antes de que se anuncie nada, el equipo hace una serie de cosas que por separado son raras y juntas no dejan dudas.

Una sola puede tener explicación inocente. Un programa de copias toca muchos archivos. Un instalador ejecuta un comando codificado. Dos o tres en el mismo minuto ya no tienen explicación inocente.

• Se borran las instantáneas de volumen y el catálogo de copias: ese es el paso que te quita el camino de vuelta.
• El disco trabaja mucho sin que haya ningún programa abierto que lo explique.
• Los archivos conservan el nombre pero ya no abren, o ganan una extensión que no habías visto.
• Aparece un archivo de texto con el mismo nombre en varias carpetas a la vez.
• BitLocker quiere cifrar de repente una unidad que tú no mandaste cifrar.

Por qué un archivo cifrado deja de parecerse a sí mismo

Casi todos los formatos empiezan con una firma fija: un documento de Word empieza por PK, un PDF por %PDF, un PNG por sus ocho bytes. El cifrado reemplaza el archivo entero, y la firma se va con él.

Hay una segunda medida que acompaña a la primera. La aleatoriedad de un archivo se puede puntuar, y el contenido corriente puntúa bajo: la prosa ronda los 4,2 bits por byte y los formatos ya comprimidos como JPEG o ZIP quedan entre 5 y 7. Lo cifrado pasa de 7,5, porque para eso sirve el cifrado. Por separado ninguna medida dice gran cosa: un ZIP es legítimamente alto y un archivo roto es legítimamente ilegible. Un archivo que ha perdido su firma y ha ganado aleatoriedad ha sido reescrito.

Qué hacer en el primer minuto

Aquí importa más el orden que la prisa, y el primer instinto de casi todo el mundo — abrir archivos para ver cómo de mal está — es el equivocado.

No pagues antes de hablar con alguien que haya llevado un caso así. No reinstales Windows encima del disco: destruye las pruebas y a veces la única copia del material de la clave.

• Desconecta la red: cable fuera, wifi apagado. Las unidades compartidas convierten un equipo en diez.
• No reinicies. Algunas claves solo viven en memoria y un reinicio las tira.
• Fotografía con el móvil la nota de rescate y la extensión: la identificación depende de las dos.
• Deja los archivos cifrados donde están. Para algunas familias hay descifradores gratuitos y necesitan los originales.

Qué puede hacer honestamente un programa en modo usuario

Aquí es donde el marketing de seguridad deja de ser cierto, así que el límite va dicho sin adornos. Un programa sin controlador de núcleo no puede ponerse entre otro programa y el disco. No puede ser un muro. Puede ser un cable trampa y un testigo.

Rain Cleaner escribe archivos señuelo en las carpetas que importan: tres por carpeta, con nombres tales que uno queda al principio de cualquier listado alfabético, otro en medio y otro al final, porque un programa que cifra una carpeta la recorre en orden. Puntúa lo que ve en una escala donde la forma de un comando puede levantar una alarma, pero solo un hecho consumado — instantáneas borradas, un señuelo reescrito, un servicio de seguridad matado — puede detener un programa. Y lleva un registro donde cada línea arrastra el hash de la anterior, de modo que una línea borrada deja un agujero visible en vez de una salida limpia.

La variante de BitLocker que nadie espera

Algunos ataques no traen cifrado propio. Activan BitLocker con una clave que tú nunca ves, quitan la tuya y se van. Tus datos quedan cifrados con una función de Microsoft que funciona exactamente como se diseñó.

Windows lo registra: evento 773 cuando se suspende un protector y 776 cuando se elimina. Si nunca configuraste BitLocker, cualquiera de los dos en tu registro de eventos merece una mirada inmediata.