¿Qué pasó?

Un empleado abrió un archivo adjunto de un correo aparentemente legítimo de un proveedor. El archivo ejecutó un script de PowerShell que descargó una variante de LockBit 3.0 y comenzó a establecer comunicación con un servidor de comando y control (C2) externo.

En cuestión de segundos, el agente Wazuh en esa estación de trabajo generó múltiples alertas: proceso desconocido ejecutando comandos en memoria, intento de modificación masiva de archivos y conexión saliente a una IP en lista negra de amenazas.

FenixSOC correlacionó las alertas, confirmó el ataque y aisló el equipo de la red antes de que el ransomware llegara a la fase de cifrado. El resto de los 44 equipos continuó operando con normalidad.