Archivos y registro, lo que la muestra deja escrito

Un programa que quiere volver a ejecutarse cuando la persona inicia sesión necesita dejar algo escrito que el sistema lea al arrancar. En Windows, uno de los sitios más comunes es la clave Run del usuario: cada valor que se escribe ahí es un programa que arrancará con la sesión, sin pedir permisos de administrador.

Aquí no buscas esa clave en un equipo comprometido: la lees en el informe, donde aparece como una línea de escritura con el proceso responsable. Esa línea es evidencia de persistencia observada. Lo que no te dice es si esa persistencia habría funcionado en la red real: dice lo que se escribió en el entorno.

Un valor de arranque tiene dos partes: el nombre del valor y el dato, que es la ruta del programa que se lanza. El nombre es lo que el autor eligió para parecer normal; el dato es lo que realmente se ejecuta. Los dos van a la ficha de indicadores, pero se leen por separado.

Abre la tercera consulta, la del registro.

El informe dice que pesajes_sync.exe mide 262144 bytes y que la muestra original mide otra cifra, que está en la tabla muestra. Si fueran iguales, probablemente sería una copia; si son distintos, el archivo nuevo es otra cosa: la muestra escribió un programa distinto de sí misma. Es una diferencia importante para la redacción: «copia» y «programa escrito por la muestra» no son lo mismo.

El número que diferencia los dos es un dato que no aparece escrito en ninguna parte, pero sale de restar dos que sí están.

La tabla de archivos mezcla escrituras de la muestra con escrituras del sistema. Por ejemplo, Prefetch es una carpeta donde Windows guarda por su cuenta una nota de cada programa que se ejecuta: aparecerá cada vez que algo se abra, bueno o malo, y lo escribe el proceso System, no la muestra. Lo mismo con el registro de eventos (.evtx), que escribe el servicio de eventos.

La regla de lectura es mirar la columna del proceso: lo que escribió la muestra o un descendiente suyo es conducta; lo que escribió System o un servicio, es el sistema reaccionando.

La muestra lanzó una consola con una línea de comandos que redirige la salida a un archivo. Quien lee el informe puede reconstruir, sin ejecutar nada, qué información dejó guardada la muestra en el equipo: es la salida de la herramienta que pidió. En la tabla de archivos hay uno, pequeño, en la carpeta temporal del usuario, creado por cmd.exe.