Un proveedor de telecomunicaciones contiene un ataque de Black Basta y restablece sus operaciones

Se aprovechó la inteligencia de amenazas de Unit 42 para identificar los TTP y los IOC de Black Basta y acercarse rápidamente al atacante.

Se estableció contacto con el autor de la amenaza y se negoció una reducción del 80 % de la exigencia de rescate inicial.

Se estableció una conectividad segura para los sitios no afectados.

Alcance, gravedad y naturaleza del incidente descubiertos mediante el análisis forense de Cortex XDR.

Se identificó la causa principal como un correo electrónico de phishing QBot y se determinó el alcance de los datos filtrados.

Se implementó la segmentación y contención de la red en la sede central del cliente mediante NGFW con descifrado/inspección de SSL activados.

Se inició el descifrado mediante una utilidad de descifrado de terceros y se realizó el restablecimiento de credenciales en toda la red.

Se identificó toda la amplitud de la actividad del autor de la amenaza en el entorno afectado.

Se implementó una contención total y se expulsó del entorno al autor de la amenaza.

Se restablecieron las operaciones de negocios críticas y se trasladaron los esfuerzos de descifrado a sistemas de apoyo de menor prioridad.

Se estableció una conexión segura a sitios remotos con Prisma Access.

La IR y la MDR permanecen en su lugar para una supervisión las 24 horas del día, los 7 días de la semana. Se comenzó a corregir las vulnerabilidades identificadas en la asignación de Xpanse.

Se continuó con la reconstrucción y restauración de los servidores y las estaciones de trabajo afectados.

Se garantizó una visibilidad, alerta y protección completas a través de la implementación en toda la empresa de Cortex XDR en más de 30 000 endpoints.