Ransomware con acceso físico interno: inyección HID (Rubber Ducky) desde el equipo del gerente
Publicado
Publicación original
LinkedIn, 17 de octubre de 2025
Tipo
Análisis de incidente, forense digital (DFIR)
Autor
Equipo DFIR / CTI, UTECH de la Costa S.A.S. (Barranquilla, Colombia)
Sectores
Empresas privadas; organizaciones con acceso físico poco controlado a oficinas directivas
Contacto
gerencia@utech.com.co
Summary (English)
UTECH's forensic team responded to a ransomware incident with a USD 100,000 Bitcoin demand. The infection point was the general manager's computer, yet he was abroad that week, which pointed to internal physical access. Correlating logs, access records, backups and hallway CCTV revealed an employee entering the office at the exact time of the event carrying a Rubber Ducky; analysis of the machine confirmed execution of an HID-injection payload. Confronted with the evidence, the employee admitted having been offered money via Telegram. The case was closed with full evidence after 32 hours.
Resumen
El equipo de respuesta forense de UTECH atendió un ataque de ransomware en el que el atacante exigía 100.000 USD en Bitcoin para liberar los archivos. La investigación determinó que el punto de infección fue el computador del gerente, mediante acceso físico interno con un dispositivo de inyección HID (Rubber Ducky) operado por un empleado que había sido contactado y pagado a través de Telegram.
Línea de tiempo de la investigación
Día 1 · 09:10Nos llamaron por un ataque de ransomware. El atacante exigía 100 000 USD en Bitcoin para liberar los archivos.
Día 1 · 10:30Activamos el equipo de respuesta forense e iniciamos la recolección de evidencia y las entrevistas al personal.
Día 1 · 13:00En el análisis inicial vimos algo raro: el punto de infección estaba en el computador del gerente. Pero el gerente no estaba en el país esa semana. Eso nos hizo pensar en acceso físico interno.
Día 2 · 08:15Correlacionamos logs, accesos y respaldos. Después revisamos el CCTV del pasillo hacia su oficina. A la hora exacta del evento se ve a un empleado entrando, permaneciendo unos minutos y saliendo con un Rubber Ducky en la mano.
Día 2 · 12:40El análisis del equipo mostró ejecución de un payload tipo HID Injection, propio de herramientas como Rubber Ducky.
Día 2 · 16:30Al entrevistar de nuevo a ese empleado con las pruebas, su versión cambió. Primero negó todo; luego admitió que "alguien le había ofrecido dinero" a través de Telegram.
Día 2 · 17:45Después de 32 horas de investigación, cerramos el caso con evidencia completa.
Reflexión
El factor humano fue el vector de entrada: un empleado con acceso físico, reclutado por un tercero a través de Telegram, ejecutó el ataque desde dentro. Ningún control perimetral sustituye la gestión del riesgo interno y una cultura de seguridad que facilite reportar.
Alcance y limitaciones
La identidad de la organización afectada y de las personas involucradas se mantiene reservada. No se publican indicadores técnicos de la variante de ransomware por confidencialidad del caso.