Wiper
Un wiper es malware cuyo fin es destruir y no lucrarse: sobrescribe ficheros, tablas de particiones o firmware para que los datos no se puedan recuperar. Varias familias notables se han presentado como ransomware, nota de rescate incluida, cuando no existió nunca ninguna clave de descifrado.
Mecánicamente los dos se parecen en las primeras horas de un incidente: los ficheros dejan de leerse, los sistemas se paran y aparece una nota. La diferencia es la intención, y cambia la respuesta. Contra el ransomware hay una vía de descifrado, por poco apetecible que sea, y parte de la respuesta es una decisión comercial. Contra un wiper no hay ninguna clave que comprar, así que cada hora dedicada a negociar es una hora que no se dedica a restaurar.
Algunas variantes hacen visible la distinción pronto, dañando el registro de arranque o corrompiendo el mismo fichero repetidamente en vez de cifrarlo una vez. Otras no, y la nota es convincente a propósito. Como la atribución y la identificación de la familia llevan tiempo, la suposición práctica para planificar es que la capacidad de recuperación tiene que funcionar sin clave.
Eso convierte la pregunta en una pregunta sobre las copias de seguridad y no sobre el endpoint. Lo que importa es si se ha hecho una restauración de punta a punta, cuánto tarda con los sistemas que el negocio necesita de verdad, y si las copias sobreviven a un atacante que tiene derechos administrativos, que es para lo que sirve una copia de seguridad inmutable. Cuando revisamos la capacidad de recuperación, lo que más veces anotamos es una restauración probada de un recurso compartido de ficheros y una restauración sin probar de la plataforma de identidad de la que depende todo lo demás.