Un ataque de ransomware PAYLOAD utilizó los Objetos de Política de Grupo (GPO) de Active Directory para interrumpir un dominio completo de Windows en una empresa manufacturera de Oriente Medio. Lo particular de esta operación es que logró deshabilitar las defensas, bloquear el acceso de los administradores y mostrar demandas de rescate sin necesidad de cifrar archivos ni desplegar binarios de ransomware, basándose únicamente en el control del dominio y el uso de credenciales robadas.

Microsoft sigue apostando por la seguridad en su plataforma Windows y su última propuesta está encaminada para ayudar a los administradores de sistemas y que estos determinen si la configuración que tienen aplicada es la idónea tomando como referencia las recomendadas por Microsoft. Gracias a Microsoft Security Compliance Toolkit, un conjunto de opciones de configuración desarrolladas en base a las aportaciones tanto de los equipos de ingeniería de la empresa pero también por partners y clientes.

El editor de las directivas de grupo de Windows es una herramienta interna de los sistemas operativos de Microsoft que permite un mayor control del funcionamiento del PC o la capacidad de realizar algunos ajustes que no están disponibles usando otros gestores menos avanzados como el Panel de Control o la Configuración general del sistema.

Windows PowerShell es la interfaz de consola (CLI) del sistema operativo de Microsoft que nos permite llevar a cabo ciertas tareas, generalmente administrativas, mediante scripts y comandos de forma parecida a la Terminal de Linux. Evita (por seguridad) que los usuarios ejecuten Powershell a través de GPO u otras maneras. Muy a menudo, los agentes malintencionados utilizan PowerShell para difundir malware en toda la red. PowerShell está habilitado de forma predeterminada en Windows 10 para todos los usuarios, los atacantes suelen utilizar esta herramienta para ejecutar comandos maliciosos, acceder al sistema de archivos, registro, para exfiltrar y demás. El ransomware a menudo se distribuye por la red a través de PowerShell. También son muy utilizados los scripts Powershell en troyanos bancarios como Dridex (previa descarga documento malicioso con macros)