Cómo diagnosticar si un servidor fue hackeado: guía técnica de forense y respuesta a incidentes

Paso a paso

1. 1

   1. Preserve las evidencias volátiles de inmediato

   Antes de cualquier otra acción, capture el estado de la memoria RAM (en Linux: 'sudo avml /mnt/evidencias/mem.lime' o 'sudo dd if=/proc/kcore'; en Windows: WinPmem o Magnet RAM Capture). Registre fecha y hora exactas (UTC), hostname, uptime y la lista de procesos activos. Nunca apague ni reinicie el servidor sin esa captura: los datos volátiles se pierden de forma permanente y pueden contener llaves de cifrado, sesiones activas del atacante e IOC críticos.

2. 2

   2. Aísle la máquina de la red sin apagarla

   Retire los cables de red o aplique reglas de firewall para bloquear todo el tráfico de salida, excepto la conexión de gestión que usted está utilizando. En Linux: 'iptables -I OUTPUT -j DROP' (excepto la sesión SSH activa). En Windows: deshabilite los adaptadores de red mediante el Device Manager o aplique una política de firewall. El aislamiento impide la exfiltración adicional de datos y la comunicación del atacante con la infraestructura C2 (Command & Control), técnica T1071 en MITRE ATT&CK.

3. 3

   3. Identifique procesos y conexiones anómalos

   En Linux, ejecute: 'ps auxf' (árbol de procesos), 'ss -tulnp' (puertos abiertos con PID), 'lsof -i' (archivos de red abiertos), 'netstat -antp' (conexiones establecidas). Busque procesos con nombres genéricos (kworker, sysupdate, java) sin una ruta legítima, conexiones hacia IP externas en puertos poco habituales (4444, 8888, 31337) y procesos que se ejecutan desde /tmp, /var/tmp o /dev/shm. En Windows: use 'netstat -anob' en el CMD como administrador y el Sysinternals Process Explorer para ver las rutas completas.

4. 4

   4. Audite las cuentas de usuario y las llaves SSH

   En Linux: 'cat /etc/passwd | grep -v nologin' (cuentas con shell), 'lastb' (intentos de inicio de sesión fallidos), 'last' (inicios de sesión recientes), 'who' (sesiones activas), 'find /home /root -name authorized_keys -exec cat {} \;' (llaves SSH autorizadas). Busque cuentas creadas recientemente, UID 0 duplicados y llaves SSH desconocidas: técnica T1098 (Account Manipulation) en MITRE ATT&CK. En Windows: 'net user', 'net localgroup administrators' y verifique el Event ID 4720 (cuenta creada) en el Event Viewer.

5. 5

   5. Verifique la persistencia (cron, servicios, registro)

   En Linux, revise todos los mecanismos de persistencia: 'crontab -l -u root', 'cat /etc/crontab', 'ls /etc/cron.*', 'systemctl list-units --state=failed', 'find /etc/systemd /usr/lib/systemd -name "*.service" -newer /boot' (servicios nuevos), 'ls -la /etc/rc.d/ /etc/init.d/' y perfiles de shell ('/etc/profile.d/', '~/.bashrc', '~/.profile'). En Windows: use Autoruns (Sysinternals) para inspeccionar todos los puntos de arranque, 'schtasks /query /fo LIST /v' para las tareas programadas y verifique HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run en el regedit.

6. 6

   6. Verifique la integridad de los binarios y los archivos sospechosos

   En Linux: 'rpm -Va' (basado en RPM) o 'dpkg --verify' (basado en Debian) para detectar binarios alterados. Ejecute 'rkhunter --check' y 'chkrootkit' para rootkits conocidos. Busque webshells con: 'find /var/www -name "*.php" -newer /etc/passwd -ls' y 'grep -r "eval(base64_decode" /var/www/'. Verifique archivos SUID sospechosos: 'find / -perm -4000 -type f 2>/dev/null'. En Windows, use el Defender Offline Scan y verifique los archivos modificados recientemente en las carpetas de IIS o Apache.

7. 7

   7. Analice los registros y detecte borrados

   En Linux: 'tail -500 /var/log/auth.log' (autenticación), '/var/log/secure' (Red Hat), '/var/log/syslog', 'ausearch -k authentication' (auditd). Verifique si los registros fueron truncados ('ls -la /var/log/'; los archivos con 0 bytes son una alerta crítica) y busque huecos de tiempo en los registros: técnica T1070 (Indicator Removal) en MITRE ATT&CK. En Windows: Event Viewer > Security (Event ID 1102 = registro de auditoría borrado, 4624/4625 = inicios de sesión, 7045 = servicio nuevo instalado, 4698 = tarea programada creada).

8. 8

   8. Confirme el compromiso y active la respuesta formal

   Si se confirman dos o más indicadores, trátelo como un incidente confirmado. No intente limpiar el servidor manualmente: la técnica correcta, conforme al NIST SP 800-61r2 y la ISO/IEC 27035, es reaprovisionar a partir de un snapshot limpio o una imagen de línea base verificada. Documente todos los IOC encontrados (IP, hashes, nombres de proceso, dominios C2), notifique al responsable del incidente y, si hay datos personales involucrados, evalúe la notificación a la ANPD conforme a la LGPD Art. 48. Contrate a una empresa de respuesta a incidentes para forense independiente y contención especializada.

Por qué se hackean los servidores: los vectores más comunes

La mayoría de las intrusiones a servidores comienza por un número reducido de vectores: explotación de vulnerabilidades conocidas en servicios expuestos (CVE en Apache, Nginx, PHP, OpenSSH, RDP), credenciales débiles o reutilizadas, inyección SQL y carga de archivos maliciosos en aplicaciones web vulnerables, y compromiso de la cadena de suministro mediante dependencias de software.

Según el framework MITRE ATT&CK, las técnicas de acceso inicial más observadas en servidores incluyen T1190 (Exploit Public-Facing Application), T1078 (Valid Accounts — uso de credenciales legítimas comprometidas) y T1133 (External Remote Services — VPN, RDP, SSH expuestos). Los servidores Linux suelen ser blanco de campañas de cryptojacking y botnets; los servidores Windows son blancos preferidos de ransomware y movimiento lateral vía Active Directory.

El tiempo promedio entre el compromiso y la detección (MTTD — Mean Time to Detect) es de semanas a meses en entornos sin monitoreo activo. Un IDS/IPS, un SIEM y líneas base de comportamiento reducen drásticamente ese tiempo y son la diferencia entre un incidente contenido y una violación de datos a gran escala.

Diagnóstico en Linux: comandos esenciales para la forense

El diagnóstico forense en Linux sigue un orden de volatilidad decreciente, conforme lo recomienda el SANS Institute. Comience por los datos más volátiles: memoria RAM, procesos en ejecución, conexiones de red activas y sockets abiertos. Nunca comience por los registros en disco: son los menos volátiles y los primeros en ser manipulados por los atacantes.

Comandos fundamentales en la fase de triaje: 'ps auxf' (árbol completo de procesos con argumentos), 'ss -tulnp' (puertos TCP/UDP abiertos con PID), 'lsof -i' (todos los archivos de red abiertos), 'netstat -antp' (conexiones con procesos), 'who -a' y 'last -50' (sesiones e inicios de sesión recientes), 'cat /etc/passwd | awk -F: "$3==0"' (cuentas con UID 0), 'find / -mtime -3 -type f -not -path "/proc/*" 2>/dev/null' (archivos modificados en los últimos 3 días).

Para el análisis de persistencia: 'crontab -l', 'cat /etc/crontab', 'ls /etc/cron.{d,daily,hourly,monthly,weekly}/', 'systemctl list-units --type=service', 'find /etc/systemd -name "*.service" -newer /etc/os-release'. Para la integridad: 'rpm -Va 2>/dev/null | grep "^..5"' (hashes MD5 alterados en sistemas basados en RPM) o 'debsums -c 2>/dev/null' (basados en Debian). Ejecute 'rkhunter --update && rkhunter --check' y 'chkrootkit' para rootkits conocidos.

Diagnóstico en Windows: herramientas nativas y Sysinternals

En Windows Server, el diagnóstico forense comienza por el Event Viewer (eventvwr.msc), enfocándose en el Security Log. Los Event ID críticos para la investigación de intrusiones son: 4624 (inicio de sesión exitoso — verifique Logon Type 3 para red y Type 10 para RemoteInteractive/RDP), 4625 (fallo de inicio de sesión — identifique fuerza bruta), 4720 (cuenta creada), 4732/4728 (adición a un grupo privilegiado), 7045 (servicio instalado), 4698 (tarea programada creada), 1102 (registro de auditoría borrado) y 4688 (proceso creado, requiere la política de auditoría habilitada).

Herramientas esenciales: 'netstat -anob' en el CMD como administrador (conexiones con PID y nombre del ejecutable), Sysinternals Autoruns (todos los puntos de persistencia del sistema en una sola pantalla), Sysinternals Process Explorer (procesos con rutas completas, firmas digitales y búsqueda integrada en VirusTotal), 'schtasks /query /fo LIST /v' (tareas programadas detalladas), 'net user' y 'net localgroup Administrators' (cuentas locales y administradores).

Para el análisis de malware en Windows: verifique los servicios con rutas sospechosas ('sc query type= all state= all'), inspeccione el registro en HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run y sus variantes, busque DLL maliciosas con Process Explorer (columna DLL path) y ejecute el Windows Defender Offline Scan para la detección sin interferencia del malware activo. El Microsoft Safety Scanner y el MSERT son útiles para un escaneo adicional en entornos comprometidos.

Tipos de malware más frecuentes en servidores

Las webshells son archivos de script (PHP, ASPX, JSP, Python) plantados en servidores web que permiten ejecutar comandos de forma remota mediante una solicitud HTTP. Son prácticamente invisibles para los usuarios finales y con frecuencia pasan desapercibidas durante años. Identifíquelas buscando funciones peligrosas en archivos recién modificados: 'grep -rn "eval(base64_decode\|system(\|exec(\|passthru(\|shell_exec(" /var/www/ --include="*.php"'. Las webshells se clasifican como técnica T1505.003 en MITRE ATT&CK.

Los cryptominers (técnica T1496 — Resource Hijacking) se implantan para minar criptomonedas usando la capacidad de cómputo de la víctima, lo que genera costos de infraestructura y degradación del rendimiento sin destrucción de datos. Se detectan por el alto uso de CPU, por procesos con nombres aleatorios o que imitan procesos del sistema, y por conexiones hacia pools de minería conocidos (pool.minexmr.com, xmrpool.eu, supportxmr.com).

Los backdoors y RAT (Remote Access Trojans) establecen canales de comunicación persistentes con la infraestructura C2 del atacante. Pueden operar en modo inverso (el servidor inicia la conexión de salida para evitar el bloqueo del firewall), usar protocolos legítimos como HTTPS, DNS o ICMP para el tunelado, y sobrevivir a los reinicios mediante múltiples mecanismos de persistencia simultáneos. En Linux, Diamorphine y Reptile son rootkits comunes; en Windows, Cobalt Strike Beacon y Meterpreter son herramientas que se encuentran con frecuencia en las investigaciones forenses.

Preservación de evidencias y cadena de custodia

La preservación correcta de las evidencias es lo que separa una respuesta a incidentes profesional de una simple limpieza. Según el NIST SP 800-86 (Guide to Integrating Forensic Techniques into Incident Response), las evidencias deben recolectarse en orden de volatilidad (RAM > procesos > conexiones > disco), con un hash criptográfico (SHA-256) calculado inmediatamente después de cada recolección para garantizar la integridad.

En Linux, cree un volcado de memoria con 'sudo avml /mnt/evidencias/mem.lime' o use el módulo LiME (Linux Memory Extractor). Tome snapshots de disco antes de cualquier intervención: 'sudo dd if=/dev/sda bs=64K conv=noerror,sync | gzip > /mnt/evidencias/disk_$(date +%Y%m%d_%H%M%S).img.gz'. Registre el hash: 'sha256sum /mnt/evidencias/disk_*.img.gz > /mnt/evidencias/hashes.txt'. En Windows, use FTK Imager (gratuito) o Magnet ACQUIRE para imágenes forenses bit a bit.

La documentación de la cadena de custodia debe registrar: quién recolectó, cuándo (fecha y hora en UTC), de qué sistema (hostname, IP, número de serie), qué herramienta se utilizó, dónde se almacenaron las evidencias y quién tuvo acceso. Sin una cadena de custodia adecuada, las evidencias no tienen validez jurídica y no pueden usarse en procesos judiciales, denuncias policiales ni notificaciones regulatorias a la ANPD.

Qué hacer tras confirmar el compromiso

Tras confirmar el incidente, siga el proceso estructurado del NIST SP 800-61r2: Contención (aislar el sistema), Erradicación (eliminar la causa raíz), Recuperación (restaurar el servicio con garantías) y Lecciones Aprendidas (posincidente). La contención ya se realizó con el aislamiento de red. La erradicación correcta para servidores comprometidos es el reaprovisionamiento completo, nunca solo la eliminación del malware visible.

Reaprovisionamiento seguro: aprovisione un servidor nuevo a partir de una imagen golden verificada, restaure datos de un respaldo validado (anterior al compromiso), aplique todos los parches de seguridad disponibles antes de ponerlo en producción, cambie todas las credenciales (contraseñas, llaves SSH, certificados, tokens de API) que tenían acceso al servidor comprometido y habilite el monitoreo activo (EDR, SIEM, auditd) antes de volver a operar.

Si se comprometieron o pudieron comprometerse datos personales de titulares, la LGPD (Ley 13.709/2018) en su Art. 48 exige la notificación a la ANPD y a los titulares afectados en un plazo razonable, interpretado por el regulador como 72 horas para la notificación inicial. Para empresas sujetas a PCI-DSS (datos de tarjetas), SOC 2 o ISO 27001, las obligaciones de notificación y documentación son aún más específicas. Involucre a asesoría jurídica especializada en privacidad junto con el equipo de IR.

Términos importantes

IoC (Indicator of Compromise)

Artefacto digital que indica con alta probabilidad que un sistema fue comprometido. Los IoC incluyen direcciones IP y dominios asociados a la infraestructura de atacantes, hashes criptográficos (MD5, SHA-256) de archivos maliciosos, claves de registro de Windows creadas por malware, nombres de procesos y servicios asociados a herramientas de ataque conocidas, y patrones de tráfico de red característicos de la comunicación C2. Los IoC se comparten entre organizaciones mediante plataformas de Threat Intelligence como MISP, OTX (AlienVault) y feeds STIX/TAXII para la detección proactiva en otros entornos.

Backdoor

Mecanismo oculto instalado por el atacante para mantener acceso persistente al sistema comprometido, independiente de las credenciales originales y de las correcciones de las vulnerabilidades que fueron explotadas. Los backdoors pueden ser webshells, servicios del sistema adulterados, cuentas de usuario ocultas, módulos del kernel (rootkits), llaves SSH no autorizadas o modificaciones en binarios del sistema operativo. El objetivo es garantizar que el atacante pueda regresar al sistema incluso después de que la víctima detecte e intente remediar el incidente, sin necesidad de volver a explotar la vulnerabilidad inicial.

Persistencia

Conjunto de técnicas usadas por los atacantes para garantizar que su acceso al sistema sobreviva a reinicios, cambios de credenciales e intentos de eliminación. En MITRE ATT&CK, la táctica TA0003 (Persistence) agrupa decenas de técnicas específicas para Linux y Windows. Los mecanismos comunes incluyen: tareas programadas (cron en Linux, Scheduled Tasks en Windows), servicios del sistema maliciosos, modificación de scripts de arranque (rc.local, perfiles de shell), claves de registro de Windows (Run, RunOnce), DLL hijacking e implantación de rootkits a nivel de kernel. La identificación y eliminación de TODOS los mecanismos de persistencia es fundamental para una erradicación eficaz: dejar un solo backdoor activo hace que el servidor siga siendo vulnerable al mismo atacante.

Cryptojacking

Ataque en el que el servidor de la víctima se usa en secreto para minar criptomonedas (generalmente Monero/XMR, por ser resistente al rastreo) en beneficio del atacante. La señal más evidente es un uso anormalmente alto de CPU (con frecuencia 70–100%) sin una carga de trabajo que lo justifique. Además del consumo de procesamiento, el cryptojacking aumenta los costos de electricidad e infraestructura cloud, degrada el rendimiento de las aplicaciones legítimas y puede causar fallas de hardware por sobrecalentamiento. Se clasifica como técnica T1496 (Resource Hijacking) en MITRE ATT&CK y es uno de los tipos de ataque más prevalentes en servidores Linux expuestos a internet sin monitoreo activo.

Preguntas frecuentes