← Todas las funciones

Detección de ransomware en las copias

Por Lucas Flores, IT Systeme Flores UG. Última actualización: 2026-10-29

Cada copia ve lo que cambió en el sistema que protege. Cuando el ransomware cifra un servidor de archivos, la siguiente copia ve cambiar miles de archivos a la vez, archivos renombrados a .locked, notas de rescate en cada carpeta y contenidos que de pronto parecen bytes aleatorios. Desde la 0.4.0, en todas las ediciones, Restow juzga cada punto de restauración nuevo a partir de esas huellas, marca los sospechosos, avisa una vez por ataque, señala en cada vista de restauración el punto de restauración más reciente sin hallazgos y pausa la retención del objeto hasta que un administrador resuelva el hallazgo, para que los puntos de restauración limpios antiguos no se eliminen mientras se acumulan los cifrados.

Es un sistema de aviso temprano, no un antivirus. Trabaja solo con datos que la copia ya tiene, nunca vuelve a leer los datos copiados, no analiza archivos en busca de malware y nunca bloquea una copia.

En qué se fija

Un punto de restauración es sospechoso cuando se dispara al menos una señal. Cada hallazgo lleva las cifras que lo originaron, de modo que usted ve cuánto se desvía. Cada objeto se compara consigo mismo: la base de comparación son sus últimos 14 puntos de restauración que cuentan como limpios, y con menos de 5 de ellos la señal dice «aprendiendo». Los valores por defecto de abajo se pueden cambiar en Instalación, Detección de ransomware.

Desde la 0.4.6, la base de comparación de un contenedor empieza con su cadena de copias más reciente. La primera copia de la cadena nueva de un contenedor (su repositorio faltaba o se reinició) se juzgaba frente a la cadena antigua y se marcaba como sospechosa, porque en un repositorio vacío cada archivo es nuevo. Un punto de restauración marcado así antes de la actualización sigue marcado: márquelo como falsa alarma.

Un objeto cuyos datos nuevos siempre se comprimen mal, como los archivos multimedia, nunca alerta por la señal de compresión; su cantidad de cambios se sigue juzgando.

Qué señales existen para cada objeto

Una señal que no tiene datos dice «no disponible», nunca «sin hallazgo»: un agente antiguo que no envía informe de actividad, una primera copia o un tipo para el que no existen esos datos. El diálogo que hay tras un punto de restauración enumera cada señal con su estado: hallazgo, sin hallazgo, aprendiendo, no disponible o desactivada.

Qué ve usted

Una etiqueta roja «Sospechoso» en el punto de restauración y en el objeto en cada vista de restauración: la página del equipo, la del recurso compartido, la del invitado, el explorador de un buzón o de OneDrive. Un punto de restauración sin hallazgos no recibe etiqueta, porque ningún hallazgo no es una prueba. Cuando el punto de restauración más reciente es sospechoso, las vistas de restauración dicen desde cuándo los puntos de restauración muestran señales de ransomware y ofrecen el más reciente sin hallazgos. Un clic en la etiqueta muestra cada hallazgo con sus cifras, el estado de cada señal y lo que la detección no puede ver.

Falsas alarmas

Una migración planificada mueve muchos archivos. Los técnicos y los administradores pueden marcar un hallazgo como falsa alarma, con una nota, y deshacerlo. El punto de restauración cuenta entonces como limpio, sus cifras pasan a la base de comparación, de modo que la misma cantidad de cambios no vuelve a alertar, y el episodio termina. Ambas acciones quedan en el registro de auditoría.

La retención en pausa

El daño real no es el punto de restauración cifrado. Es la retención que elimina los puntos de restauración limpios antiguos mientras se acumulan los cifrados: tras una semana de copias diarias cifradas y siete puntos de restauración diarios conservados, no queda nada limpio. Por eso, mientras un objeto tiene un punto de restauración sospechoso que nadie ha resuelto, la retención, restic forget y prune no eliminan ningún punto de restauración de ese objeto. El objeto muestra «Retención en pausa». Las copias siguen, así que el almacenamiento crece; los presupuestos y sus avisos siguen vigentes.

Solo un administrador termina una retención en pausa, nunca un punto de restauración limpio posterior. Hay dos vías: «Marcar como falsa alarma» o «Liberar la retención», tras lo cual la retención se reanuda en su siguiente ejecución y elimina lo que las reglas ya no conservan, incluidos los puntos de restauración sospechosos. Liberar exige un inicio de sesión reciente y queda en el registro de auditoría. Una retención en pausa que sigue abierta a los 14 días se vuelve a avisar, y después cada 14 días. El propietario puede desactivarla en Instalación, Detección de ransomware.

Notificaciones

backup.suspicious es un error, que se lanza una vez por episodio de ataque, y dice que la retención está en pausa. backup.suspicious_hold es una advertencia para una retención en pausa que sigue abierta. Ambos llegan a la campana de notificaciones, a las reglas de alerta y a los webhooks a través de la matriz de notificaciones, en Integraciones, Notificaciones. El correo de alerta enumera cada hallazgo con sus cifras.

Límites declarados, no ocultos

• Es un sistema de aviso temprano, no un antivirus. Un punto de restauración sin hallazgos no demuestra que no se cifrara ningún archivo, y un hallazgo tampoco es una prueba.
• El ransomware que cifra pocos archivos al día, o solo partes de archivos grandes, se mantiene dentro de la base de comparación, y el cifrado intermitente que deja intactos los primeros y los últimos 64 KiB de un archivo es invisible para los archivos de muestra. Por debajo de 256 MiB de datos nuevos no se juzgan las proporciones de compresión y deduplicación.
• No se juzgan los datos que la copia no ve: carpetas excluidas, archivos por encima de un límite de tamaño, datos modificados tras la copia. En las VM de Proxmox VE solo existe la cantidad de bloques modificados, en los buzones solo la cantidad de elementos nuevos.
• Un atacante que conozca la detección puede quedarse por debajo de los umbrales, cifrar a formatos comprimidos (que los archivos de muestra nunca juzgan) o cifrar primero el historial de copias. El almacenamiento inmutable protege el historial; la retención en pausa solo impide que la propia retención de Restow lo elimine, y una cuenta de administrador que tenga el atacante puede liberarla (con inicio de sesión reciente, auditado). El malware que no cifra, como el robo de datos, no deja rastro en estas señales.
• La primera copia de un objeto y los objetos con poco historial no tienen con qué compararse: la cantidad de cambios aún se está aprendiendo.
• El informe de actividad (borrados, renombrados, nombres, archivos de muestra) necesita el agente de equipos 0.4.0; la señal de compresión necesita el agente 0.4.0 en los equipos y restow-pve 0.4.0 para los contenedores. Los agentes antiguos muestran «no disponible».
• Se construyó a partir del comportamiento publicado de las familias de ransomware y se probó con ataques simulados (bytes aleatorios, extensiones renombradas, notas en cada carpeta), no con ransomware real. Las ejecuciones de más de 72 horas no se juzgan después, para que una caída no inunde las alertas.
• Una retención en pausa conserva datos que de otro modo caducarían. Si debe borrar algo por un motivo legal, resuelva primero el hallazgo, y tenga en cuenta que los datos bloqueados en un repositorio inmutable no se pueden borrar antes de que termine su bloqueo (véase copias inmutables).

Las señales, los valores por defecto, los episodios y el protocolo del agente se describen en docs/RANSOMWARE.md en el repositorio del producto (en inglés).

Preguntas frecuentes

Copias inmutables: qué se puede bloquear y qué no →

Demostrar que las copias se restauran de verdad →

Más en Aprender: copias inmutables, WORM, air gap y ransomware →