Los atacantes de Windows están aprovechando el servicio de copias de sombra de volumen (VSS) para causar interrupciones. Mediante el abuso de esta función, los intrusos pueden copiar datos protegidos, acceder a la base de datos de Active Directory y eliminar las copias de recuperación tras un ataque de ransomware, camuflándose así entre la actividad normal del sistema.

Los atacantes de Windows están convirtiendo una función de recuperación integrada en una herramienta de interrupción. Al abusar del Servicio de Copias de Sombra de Volumen (Volume Shadow Copy Service), los intrusos pueden copiar datos protegidos, acceder a la base de datos de Active Directory y borrar las copias de recuperación después de un ataque de ransomware.

La técnica se mezcla con la actividad normal de Windows. El software de respaldo, las herramientas de gestión remota y los administradores pueden crear o eliminar copias de sombra, lo que te obliga a ti, como defensor, a distinguir el mantenimiento rutinario de una brecha de seguridad.

El resultado es el robo de credenciales de dominio y menos opciones de recuperación. Analistas de Huntress identificaron este patrón mientras revisaban una actividad sospechosa de copias de sombra en un controlador de dominio.

Su investigación mostró cómo varias acciones vinculadas pueden revelar un intento de recolectar credenciales, moverse a través de una red y eliminar las opciones de recuperación local antes de que el ataque llegue a su etapa final.

Huntress afirmó en un informe que los actores de amenazas no dependen únicamente de la eliminación de las copias de sombra.

Pueden crear una copia de sombra para obtener datos de Active Directory y luego eliminar las copias para reducir la evidencia y dificultar la reversión del sistema. Esto es una preocupación para las organizaciones que consideran que los respaldos son su única salvaguardia.

Abusan de VSSAdmin

El Servicio de Copias de Sombra de Volumen, o VSS, toma copias de archivos y volúmenes en un momento dado. Soporta los respaldos y la recuperación, pero también le da a un atacante con privilegios una ruta para evadir el bloqueo normal de la base de datos de Active Directory, que almacena la información de las cuentas y el material de contraseñas cifradas en un controlador de dominio.

En la actividad revisada por los investigadores, PsExec lanzó consolas de comandos con permisos de nivel SYSTEM en un controlador de dominio.

El intruso verificó las sesiones activas de Escritorio Remoto y utilizó VSSAdmin para crear una copia de sombra. Esto permitió que se tomara una copia de la base de datos del directorio desde una instantánea estática en lugar de leerla directamente.

Este enfoque puede ser más silencioso que extraer credenciales de un sistema en vivo. Una base de datos de directorio robada puede permitir la recuperación offline de hashes de contraseñas y un mayor acceso a través de un dominio.

La etapa de eliminación quita una ruta local conveniente para restaurar archivos. Los informes sobre la eliminación de copias de recuperación de ransomware muestran que los atacantes usan esta táctica para reducir las opciones de recuperación de la víctima antes del cifrado. Nunca debes tratar las instantáneas locales como tu único plan de recuperación.

El Contexto Expone la Intrusión

Un evento de copia de sombra por sí solo es una alerta débil. Los agentes de respaldo legítimos y las herramientas de monitoreo remoto a menudo crean o borran copias durante el trabajo programado, por lo que una regla que marque cada evento de VSS puede abrumar a los respondedores y hacer que las intrusiones reales sean más fáciles de pasar por alto.

La señal más fuerte es la cadena circundante. Huntress vinculó el evento de creación sospechosa con la ejecución remota de nivel SYSTEM, verificaciones de sesión de Escritorio Remoto, acciones enfocadas en credenciales, enumeración de DNS y reconocimiento de al menos un host adicional.

En conjunto, esos eventos sugerían un movimiento lateral en lugar de un administrador ejecutando una tarea de limpieza. Esa secuencia importa porque los atacantes a menudo usan herramientas válidas después de ganar acceso.

PsExec puede ejecutar comandos en sistemas remotos bajo permisos elevados. Puedes examinar cómo esto permite el movimiento lateral de comandos remotos al decidir si su uso encaja en los patrones operativos normales.

Como defensor, debes investigar la creación o eliminación de VSS cuando aparezca junto a una ejecución remota inusual, actividad de cuentas, reconocimiento de directorios o intentos de acceder a archivos sensibles.

El linaje del proceso, el historial de comandos, el contexto del usuario, el rol del host y el tiempo pueden establecer si una operación de respaldo es esperada o parte de una intrusión.

Los investigadores recomiendan correlacionar eventos en una ventana de tiempo en lugar de juzgar un comando de forma aislada. Tus equipos deben proteger las copias de recuperación con respaldos offline o separados, probar la restauración, limitar el acceso privilegiado a los controladores de dominio y revisar las alertas que combinen la actividad de VSS con la recolección de credenciales o el movimiento entre hosts.

La lección es sencilla: una copia de sombra ayuda a la recuperación, pero no es un límite de seguridad. Cuando los atacantes pueden crearla, leerla y eliminarla con utilidades confiables de Windows, la detección temprana depende de reconocer la cadena antes de que las credenciales robadas y la pérdida de opciones de recuperación conviertan un incidente en una crisis de todo el dominio.