Accesos directos (LNK) como vehículo

Un acceso directo (.lnk) sigue el formato Shell Link que Microsoft documenta: una cabecera, un destino y datos opcionales, entre ellos los argumentos con que se lanza el programa, el directorio de trabajo, el icono y el estado de la ventana. El explorador suele ocultar la extensión .lnk, incluso cuando se pide ver las extensiones, y el icono es un campo libre del propio acceso directo.

Por eso Remision_8815.pdf.lnk se ve como Remision_8815.pdf con icono de documento. La columna de tipo del explorador sí dice «Acceso directo»; el engaño depende de que nadie la mire. Abre como-lo-ve-el-usuario.txt.

El dato central del análisis es el destino (target path): el programa que el sistema ejecutaría si alguien abriera el acceso directo. Un destino que no es un documento ni un visor, sino un intérprete de comandos del propio sistema, es incompatible con el nombre de «remisión en PDF». Los argumentos completan la instrucción: qué se le pide a ese programa.

Lee A-0233-lecmd.txt. Es lo que la herramienta imprime al leer la estructura: no hay ejecución.

Los argumentos de A-0233 se refieren a una ruta de red con la forma \\servidor\recurso\archivo, es decir, a un recurso en otra máquina. Con eso el acceso directo no lleva el contenido: lo va a buscar fuera. Es un hallazgo con doble valor: da una dirección para bloquear y buscar en los registros de red, y explica por qué el archivo es tan pequeño. El campo «Target created» sin datos lo confirma: el destino no está en este equipo.

El bloque de seguimiento del acceso directo (tracker data) conserva datos del equipo donde se creó: el nombre de la máquina (Machine ID), una dirección MAC y marcas de tiempo. Quien crea muchos accesos directos desde el mismo equipo deja el mismo nombre en todos, aunque cambie el destino y los nombres de archivo. Son datos que el autor casi nunca piensa en limpiar.

Hay una cautela: ese nombre identifica una máquina, no una persona, y puede ser de un equipo prestado, compartido o reutilizado por muchos.

Abre FCA-IR-0188-lecmd.txt, el acceso directo de un incidente de octubre. Comparte con A-0233 el nombre de la máquina, la dirección MAC y la misma forma de instrucción, aunque cambian el destino y el nombre del archivo. Es un pivote: un vínculo fuerte entre dos casos que justifica reabrir el anterior y buscar más muestras con esos datos. No es una identificación de quién está detrás.

La diferencia importa en el informe: «se creó en la misma máquina que» es un hecho; «lo hizo la misma persona» es una hipótesis.