Phishing & Incident Response | Jose Ignacio Navarro

01. ¿Qué es el Phishing y cómo muta?

El phishing no es solo un correo falso; es un ecosistema de engaño diseñado para saltarse las barreras tecnológicas atacando el eslabón más débil: el humano.

Principales Variantes

🎯 Spear Phishing: Ataques personalizados contra un individuo específico tras una fase de reconocimiento.
👑 Whaling: Dirigido a "peces gordos" (CEOs/Directivos) para autorizar transferencias o robar datos confidenciales.
📱 Smishing: Phishing vía SMS, muy común para robar códigos de verificación (2FA).

02. Vectores de Infección

¿Cómo llega el código malicioso a tu máquina? Estos son los métodos paso a paso:

El Enlace Malicioso

Páginas clonadas de Microsoft 365 o bancos. El objetivo es que introduzcas tus credenciales voluntariamente.

Adjuntos "Armados"

Documentos Word/Excel con Macros ocultas o archivos comprimidos (.ZIP/.ISO) que al abrirse ejecutan un script en segundo plano.

03. Escenario Real: ¿Cómo detectarlo?

Elemento	Señal de Alerta (Phishing)	Estado Seguro
Remitente	soporte-tecnico@microsoft-security.net	no-reply@microsoft.com
Enlaces (Hover)	bit.ly/update-pass-321	https://portal.office.com/...
Lenguaje	Urgencia extrema y amenazas de cierre de cuenta.	Informativo y profesional.

04. Respuesta ante Incidentes: Análisis de Logs

Si sospechamos de una infección, el sistema siempre deja rastro. Así es como buscamos pruebas:

A. Buscando procesos sin firma o sospechosos

# Listar procesos que no tienen descripción (típico de malware)
Get-Process | Where-Object {$_.Description -eq ""} | Select-Object Name, Id, Path

B. Auditoría de Eventos de Windows (Event Viewer)

Debemos buscar estos Event IDs específicos:

ID 4624: Inicios de sesión (Logon). Buscar horas inusuales.
ID 4688: Nuevo proceso creado. Vital para ver si Word lanzó un PowerShell.

# Buscar ejecuciones sospechosas en los últimos logs
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4688} | Select-Object -First 10

⚠️ Nota: Requiere tener activada la política de auditoría de creación de procesos.

05. Plan de Recuperación Post-Infección

Protocolo de 3 Pasos

1. Aislamiento: Desconectar de la red inmediatamente para evitar el movimiento lateral (que el virus infecte a otros PCs del dominio).

2. Limpieza de Persistencia: Revisar llaves de registro donde el malware suele esconderse para re-iniciarse:

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"

3. Erradicación y Reset: Formateo de equipo si es necesario y cambio forzado de contraseñas de todos los servicios afectados.