DeadLock no rompe tu antivirus: lo para como un servicio más

Microsoft publicó el 10 de agosto su análisis del cifrador de DeadLock y lo titula por lo más novedoso: la infraestructura descentralizada que la banda usa para negociar la recuperación. Nosotros nos quedamos con la parte aburrida del mismo documento, que es la que nos toca operar: la lista de lo que el bicho apaga antes de cifrar un solo fichero. Cifrar es lo automático; lo que decide si el ataque sale bien o sale mal ocurre en los minutos anteriores, cuando alguien va parando servicios uno a uno y nadie recibe un aviso.

Escribimos esto desde el lado del que recoge los pedazos. Llevamos EDR y MDR gestionados en parques ajenos y hemos visto el mismo patrón lo bastante como para tener una opinión antipática: casi todo el mundo compra un producto de seguridad y casi nadie enciende los tres interruptores que hacen que ese producto no se pueda apagar desde dentro. DeadLock no es especialmente sofisticado. Es rutinario. Por eso vale la pena leer su rutina.

La lista de servicios dice dónde está el atacante

DeadLock apareció en julio de 2025 y, según Microsoft, a julio de 2026 llevaba más de 80 organizaciones publicadas en su web de filtraciones, más de la mitad de ellas europeas. Según ese mismo análisis, el cifrador para —entre otros— estos servicios: windefend, vss, swprv, wbengine, mssearch, vmcompute, vmms, adws, ntds y kdc. Léela otra vez despacio, porque no es una lista de antivirus: es un mapa.

• ntds, kdc y adws son la base de datos de Active Directory, el centro de distribución de claves Kerberos y el servicio web de administración del directorio. ntds solo existe en un controlador de dominio; kdc está presente y deshabilitado en el resto de servidores Windows y solo arranca cuando la máquina se promociona; adws aparece con el rol de AD DS o el de AD LDS. Si el cifrador se molesta en pararlos, es porque cuenta con ejecutarse en un controlador de dominio. Esa es nuestra lectura, no una afirmación de Microsoft.
• vss, swprv y wbengine son instantáneas de volumen y copia de seguridad de Windows. No son seguridad: son recuperación. Se paran para que el disco no tenga desde dónde volver.
• vmcompute y vmms son los servicios de gestión de Hyper-V, no el hipervisor. Pararlos no apaga por sí solo las máquinas en marcha —cada una vive en su propio proceso de trabajo—, pero deja el anfitrión sin poder arrancarlas ni gestionarlas; junto con la muerte de esos procesos, los discos virtuales dejan de estar bloqueados y pasan a ser ficheros como cualquier otro.

La lista de procesos que mata va en la misma dirección y añade un detalle que nos parece el más revelador de todos: junto a msmpeng, securityhealthservice y smartscreen aparecen onedrive, dropbox, googledrivefs y owncloud. Los clientes de sincronización se matan porque son la copia de seguridad accidental de media empresa. Quien escribió eso sabe perfectamente cómo se recupera la gente de verdad cuando pierde ficheros: de la carpeta que se sincroniza sola.

Defender no se rompe: se para

Aquí está la frase incómoda del informe. Para neutralizar Microsoft Defender, DeadLock detiene el servicio windefend y deja su tipo de inicio en deshabilitado. No hay exploit, no hay técnica de nombre bonito, no hay nada que un administrador no haga un martes cualquiera. Es la operación más aburrida del sistema operativo hecha por la persona equivocada.

Que eso funcione depende sobre todo de una cosa: de que la protección contra manipulaciones (tamper protection) esté desactivada. No es interpretación nuestra; la propia lista de mitigaciones del artículo de Microsoft la pide literalmente «para impedir que los atacantes detengan los servicios de seguridad». En un parque gestionado, cuando está activa, ni un administrador local puede parar el motor por la vía normal: el cambio tiene que venir del portal de gestión. Y es gratis: está incluida en el producto que ya tienes y viene activada por defecto en los clientes empresariales desde 2022.

Nos encontramos esa casilla apagada con una frecuencia que ya no nos sorprende, y casi siempre por la misma razón razonable: alguien la desactivó hace dos años para que una aplicación de gestión dejara de dar guerra, y nadie volvió a encenderla. El apunte de la incidencia sigue en el ticket. La casilla, no.

Los registros no se borran: se apagan

Esta es la parte que menos se comenta y la que más nos ha hecho pensar. DeadLock hace tres cosas con el registro de eventos de Windows, y solo la primera es la que todos esperamos:

• Vacía por la API clásica los canales Application, Security, Setup, Servicing, Eventlog, Forwarded Events, Windows PowerShell y System.
• Recorre el árbol HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels y pone Enabled a 0 en cada canal.
• Sobrescribe ChannelAccess con un descriptor SDDL restrictivo, de forma que el permiso de escritura sobre esos canales deja de existir.

La diferencia entre el primer punto y los otros dos es la diferencia entre perder el pasado y perder el futuro. Vaciar un registro te quita lo que ya ocurrió. Deshabilitar el canal y quitarle el permiso de escritura significa que a partir de ese segundo la máquina deja de generar historia: no hay nada que recuperar después, porque nunca llegó a escribirse. El analista que llega el lunes con el disco intacto no encuentra un hueco en la línea temporal; encuentra el final de la línea temporal.

De ahí sale la regla que aplicamos sin excepción: un registro que solo vive en la máquina que puede ser comprometida no es un registro, es una nota. Reenviar eventos a un colector fuera del dominio, con su propia cuenta y sin permiso de borrado desde el origen, no cuesta licencias; cuesta una tarde. Y es la diferencia entre saber por dónde entraron y tener que suponerlo. Va en la misma familia de decisiones que tener el servidor de copias dentro del dominio que estás protegiendo: una dependencia que solo se nota el día que ya no la puedes arreglar.

Cuándo hace falta el kernel (y por qué casi nunca hace falta)

Hay una versión cara de este mismo movimiento. En diciembre de 2025, Cisco Talos documentó un cargador usado en un ataque de DeadLock que trae su propio controlador vulnerable: BdApiUtil.sys, un driver firmado del antivirus de Baidu con la vulnerabilidad CVE-2024-51324, de gestión indebida de privilegios. El truco es de manual y por eso funciona: se abre el dispositivo \\.\BdApiUtil, se le envía el IOCTL 0x800024b4 con el identificador del proceso objetivo y el driver llama a ZwTerminateProcess sin comprobar si quien lo pide tiene derecho a pedirlo. Desde el kernel se mata cualquier cosa, incluidos los procesos protegidos que desde el espacio de usuario son intocables. En su lista de objetivos aparecían motores de Microsoft, de Symantec/Norton y de McAfee.

Contra esto Windows tiene una defensa concreta, la lista de bloqueo de controladores vulnerables de Microsoft, y conviene saber exactamente qué cubre y qué no. Está activada por defecto desde Windows 11 22H2, Microsoft la actualiza trimestralmente y además la reparte con los paquetes mensuales de Windows. La letra pequeña no está en la cadencia: está en cuándo se aplica. Solo se hace cumplir si está activa la integridad de memoria (HVCI), Smart App Control o el modo S — y esa es exactamente la casilla que en muchos servidores Windows nadie ha tocado nunca, sea por drivers de cabina, de tarjeta o de un software de copias que no la soporta. Un control real, gratuito, y que en muchos de los parques que nos llegan no está haciendo nada.

Ahora júntalo con el dato del principio: para apagar Defender, el cifrador analizado por Microsoft no necesitó nada de esto. Ni driver, ni kernel, ni CVE. Paró un servicio. La técnica cara solo hace falta cuando la barata está bloqueada, y la barata se bloquea con una casilla. Ese es todo el argumento del artículo.

El otro aviso del mismo día

El 10 de agosto no solo publicó Microsoft. Ese mismo día salió el aviso conjunto AA26-222A de CISA, el FBI y varias agencias más, junto con la policía nacional de Corea del Sur, sobre el ransomware Gunra: aparecido en abril de 2025, derivado del código de Conti que se filtró en 2022, convertido en servicio para afiliados a principios de 2026 y con entrada por vulnerabilidades conocidas en dispositivos expuestos a Internet, cortafuegos y pasarelas VPN incluidos: en FortiOS y FortiProxy, CVE-2024-55591 y CVE-2025-24472. Sus recomendaciones son las de siempre: parchear lo que da a Internet, cerrar o proteger el escritorio remoto, segmentar y mantener copias fuera de línea e inmutables.

Los dos documentos cuentan mitades distintas del mismo día de trabajo. Uno describe por dónde se entra; el otro, qué se apaga una vez dentro. Casi todo el presupuesto de seguridad de una pyme se va al primero —el cortafuegos, la VPN, el parche— y casi nada al segundo. Y el segundo es el que decide si el incidente es un susto de dos días o un cierre de dos semanas.

Lo que sí resiste esta secuencia

Ordenado por lo que cuesta, de menos a más. El primero no cuesta dinero: cuesta una decisión y un rato de inventario.

• Protección contra manipulaciones activada y auditada. No basta con activarla una vez: hay que revisar periódicamente en cuántos equipos sigue activa, porque la excepción de hace dos años sigue viva.
• Reenvío de eventos fuera de la máquina, en tiempo real. Si el registro no ha salido del equipo antes del incidente, no va a salir después. Microsoft recomienda además el EDR en modo de bloqueo y las reglas de reducción de superficie de ataque —bloquear ejecutables sin prevalencia ni antigüedad, y la protección avanzada contra ransomware—. Aquí hay que mirar la factura antes de dar nada por hecho: el modo de bloqueo pide Defender para Endpoint P2 o Defender para Empresas, no basta con el Defender que trae Windows.
• Copias que no dependan del dominio ni del disco. Instantáneas de volumen no son copias: el propio cifrador las trata como el primer obstáculo a retirar. Nosotros trabajamos con 3-2-1 y copias inmutables porque es lo único que sobrevive a un atacante con credenciales de administrador de dominio.
• Alguien mirando fuera del horario. Esta es la que cuesta dinero y la que más se aplaza. Un EDR sin nadie detrás es un antivirus caro que escribe en un panel que nadie abre; el valor del servicio gestionado no está en el agente, está en el turno. Y para que ese turno sirva, las alertas tienen que estar diseñadas para despertar a alguien, no para llenar un informe mensual.

Cuándo NO deberías comprar un MDR

Lo decimos aunque sea uno de nuestros servicios: si tienes veinte equipos, la protección contra manipulaciones apagada y las copias en un disco USB conectado al servidor, contratar un servicio gestionado no es tu siguiente paso. Es gastar en vigilancia lo que deberías gastar en cerrar la puerta. Enciende las casillas gratuitas, saca las copias del dominio, comprueba que restauras —que es la única prueba que cuenta, y la que casi nadie hace: los números de recuperación que se firman sin calcular dan para otro artículo— y entonces, si la exposición lo justifica, hablamos de quién mira el panel de noche.

Nosotros no somos resellers de ninguna plataforma, así que esta conversación la podemos tener entera. Si quieres saber en cuántos equipos de tu parque sigue activa la protección contra manipulaciones, o si tus registros de eventos salen de la máquina antes de que alguien pueda apagarlos, escríbenos y lo miramos. Es una hora de trabajo y una respuesta incómoda.

La pregunta con la que cerramos es la que nos hacemos nosotros cada vez que entra un parque nuevo: ¿cuánto tarda alguien en enterarse de que un equipo ha dejado de reportar? No cuántas alertas genera. Cuánto tarda el silencio en convertirse en una llamada.