Malwarebytes: triaje e investigación de alertas (mapeo MITRE)

Objetivo

Usar un método repetible para gestionar una alerta de Malwarebytes (Nebula / OneView):

• Evaluar rápidamente la gravedad
• Recopilar las evidencias adecuadas (proceso, ruta, usuario, cronología)
• Decidir: falso positivo vs PUP vs malware vs intrusión
• Contener y luego remediar
• Documentar (ticket + mapeo MITRE ATT&CK)

Paso 1 — Triaje rápido (2–5 minutos)

1. Abre la consola de Malwarebytes.
2. Ve a Detections / Suspicious activity.
3. Abre el evento y captura:
   • Endpoint / nombre del host
   • Cuenta de usuario
   • Ruta del proceso + nombre del binario
   • Hora de detección
   • Acción tomada (bloqueado / puesto en cuarentena / permitido)
   • Gravedad

Pistas de decisión rápida

• PUP/adware en una estación de trabajo: normalmente baja/media, remediación estándar.
• Ejecutable desconocido en una ruta sospechosa: escalar.
• Etiquetas MITRE como "Initial Access" / "Lateral Movement": tratar como gravedad alta.

Paso 2 — Revisar el contexto del endpoint

1. ¿Es un servidor crítico o una estación de trabajo estándar?
2. Revisa el historial:
   • detecciones recientes
   • última conexión / actualización del agente

Paso 3 — Paquete mínimo de evidencias

Recopila:

• Ruta completa del binario
• Hash (si está disponible)
• Proceso padre (árbol/gráfico de procesos)
• Línea de comandos (si se muestra)
• Artefactos de archivo/red (si están disponibles)

Paso 4 — Contención (si la sospecha es alta)

Según tus capacidades:

1. Aísla el endpoint (aislamiento de red) si está disponible.
2. Deshabilita temporalmente la cuenta de usuario si el compromiso es probable.
3. Bloquea los IOC:
   • hash, URL, dominio
4. Notifica a las partes interesadas según el runbook interno.

Paso 5 — Remediación

PUP / adware

1. Ejecuta un escaneo completo.
2. Pon en cuarentena/elimina las detecciones.
3. Limpia:
   • extensiones del navegador
   • programas instalados
4. Revisa las tareas programadas y las claves Run/RunOnce.

Malware / ejecutable sospechoso

1. Pon en cuarentena/elimina.
2. Reinicia si es necesario.
3. Verifica:
   • persistencia (servicios, tareas)
   • conexiones salientes anómalas
4. Considera reimagenar si la confianza es baja.

Paso 6 — Mapeo MITRE (documentación)

En tu ticket, registra:

• Táctica (p. ej., Initial Access)
• Técnica (si se conoce)
• Justificación (qué evidencia la respalda)

Paso 7 — Cierre y prevención

• Actualiza reglas/exclusiones (solo si el falso positivo está comprobado)
• Añade monitorización correlacionada (RMM/SIEM)
• Mantén un runbook de N1:
  • paquete de evidencias
  • pasos de contención
  • criterios de escalado