EDR muestra winword.exe lanzando powershell.exe con -EncodedCommand en la PC de un usuario. ¿Cómo gestionás el incidente de punta a punta?

Sigo un ciclo tipo NIST SP 800-61, priorizando no perder evidencia.

1. Validación rápida: Office generando PowerShell codificado es altamente sospechoso (MITRE T1566.001 + T1059.001). Decodifico el Base64 (es UTF-16LE) en un entorno de análisis, sin ejecutarlo, para ver la intención: descarga, conexión saliente, persistencia.

2. Contención: aíslo el endpoint desde el EDR (mantiene la telemetría), bloqueo dominios/IPs del payload en proxy y firewall, y si hay indicios de robo de credenciales reseteo las del usuario y revoco sesiones.

3. Evidencia: antes de limpiar, capturo memoria y artefactos: árbol de procesos, conexiones, Prefetch, tareas programadas, Run keys, logs de PowerShell (4104 Script Block si está habilitado), el documento original y el correo de origen.

4. Alcance: es la parte clave. Busco en toda la flota:

• Mismo remitente/asunto/adjunto en el gateway de correo, y purgo los mensajes.
• Hash del documento y dominios contactados.
• El comportamiento: cualquier proceso de Office con hijos intérpretes.

ParentImage termina en (winword.exe, excel.exe) Y Image termina en (powershell.exe, cmd.exe, wscript.exe)

5. Erradicación y recuperación: elimino persistencias, y si no puedo asegurar el estado del equipo, reimagen. Monitoreo reforzado del usuario y host.

6. Lecciones aprendidas: reglas ASR para bloquear procesos hijos de Office, macros de internet bloqueadas (Mark of the Web), PowerShell Constrained Language Mode y logging, detección nueva en el SIEM, y comunicación con el usuario y la gerencia.

Durante todo el proceso documento la línea de tiempo y coordino con legal si hubo datos expuestos.

Reimagen inmediato sin preservar evidencia ni determinar el alcance. Ejecutar el payload decodificado en un equipo productivo, o tratarlo como un caso aislado sin buscar otros destinatarios del mismo correo.