Cybersnap lee los snapshots que ya existen en su entorno de almacenamiento o virtualización, analiza su contenido en tres niveles y muestra en qué puntos de restauración los análisis realizados no han revelado rastros de ataque. Sin agente en producción, antes de restaurar.
Puede haber código malicioso en un servidor sin que los datos de negocio estén cifrados. Un atacante puede estar activo antes de que el daño sea visible. Cada nivel de análisis responde a una pregunta distinta. El módulo Ransom Recovery cubre los tres niveles; Damage Prevention amplía el nivel 3 con detección temprana y ataques de evolución lenta.
Cambios masivos: miles de archivos modificados en la misma ventana de tiempo.
Extensiones y notas de rescate: familias de ransomware conocidas.
Entropía: el contenido cifrado parece aleatorio. Por sí sola no es prueba.
Archivos disfrazados: parece un archivo de datos, pero es ejecutable.
Reglas YARA-X: patrones en el contenido, aunque el nombre del archivo haya cambiado.
Indicadores de compromiso: rastros anteriores al cifrado visible.
Huella y regla: la huella para contenido idéntico, la regla para patrones. Se complementan.
Resultado: qué archivo, qué regla, en qué punto de restauración.
Persistencia: servicios, tareas programadas, inicio automático.
Artefactos forenses: registros de eventos, configuraciones de servicios. Lo que estaba definido y lo que realmente se ejecutó.
Cronología: cuándo aparecieron los rastros y qué cambió después.
Restaurar a un punto anterior al cifrado puede devolver a la vez el archivo sospechoso y su mecanismo de arranque.
Encuentra un ejecutable que se hace pasar por un archivo de datos.
Encuentra en él un patrón que coincide con una regla de detección.
Encuentra el mecanismo que debía ejecutar el archivo.
Muestra que los hallazgos son anteriores al cifrado.
Por servidor, basado en evidencias.
Antes de volver a producción: validación del candidato en la Cyber Sandbox aislada.
El motor de análisis recoge evidencias. El equipo decide.
Análisis de datos, recogida de evidencias, evaluación de la amenaza. Misma entrada, mismo resultado. Los tres niveles de análisis son las rutas de verificación de este motor.
Recibe hallazgos y metadatos: método de detección, archivos y rutas, gravedad, histórico, función del servidor, sistema operativo, infraestructura. Aporta una interpretación razonada, una valoración de falsos positivos y líneas de investigación. Sin archivos en bruto.
Detecta la información que falta y formula una propuesta de investigación.
Acciones permitidas, capacidades, alcance, presupuesto de ejecución.
Solo las acciones que han superado todas las verificaciones previstas. Aporta nuevos hallazgos.
Confirmada, debilitada o precisada.
Una recomendación de rebajar la gravedad no elimina ningún hallazgo.
CyberSnap AI Research mantiene los contenidos de detección: reglas YARA-X, patrones de ransomware, indicadores, recetas de investigación. La inteligencia de amenazas se evalúa con apoyo de IA y se valida contra muestras. Las entregas se versionan, con posibilidad de reversión. La conexión ampliada con los entornos de los clientes está en desarrollo controlado.
Un sistema, los snapshots existentes, una reunión de resultados.