Arranque — claves Run y carpeta de inicio en el informe

La persistencia es lo que una muestra hace para sobrevivir a un reinicio o a un cierre de sesión. MITRE ATT&CK la recoge, para el arranque y el inicio de sesión, en la técnica T1547.001 («Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder»). Aquí se usa solo para describir y detectar: es el nombre común de lo que el informe muestra.

Hay dos lugares clásicos. Las claves Run del registro, que Windows recorre cuando alguien inicia sesión: una en HKCU, que vale para un usuario, y otra en HKLM, que vale para toda la máquina y exige permisos de administrador para escribirse. Y la carpeta de inicio, donde cualquier acceso directo o programa se lanza al abrir la sesión de ese usuario.

La diferencia de alcance importa para leer un informe. Una entrada en HKCU no pide ningún privilegio, así que una muestra que acaba de abrirse con los permisos de un usuario corriente puede escribirla sin más. Es la razón de que sea tan frecuente, y de que su sola presencia diga poco sobre cuánto control tiene la muestra.

El informe de un entorno aislado lista los archivos que la muestra crea, con la hora (en segundos desde el inicio del análisis) y la ruta. Para la persistencia interesan dos cosas: dónde se crea el archivo —una carpeta del perfil del usuario que se puede escribir sin permisos especiales, o una carpeta de inicio— y qué tipo de archivo es: un programa, un documento o un acceso directo que apunta a otro programa.

Un acceso directo en la carpeta de inicio es una forma discreta de persistir: el archivo es minúsculo, su icono puede parecer inocente y lo único importante es el destino al que apunta. Por eso se anota su nombre exacto, que es lo que luego se busca en otros equipos.

En un puesto real, la pregunta no es qué hay en el arranque, sino qué hay hoy que ayer no estaba. Una herramienta que compara el equipo con su imagen base lista las entradas nuevas, y cada una se explica con tres cosas: la firma del programa al que apunta, la ruta donde vive y un ticket o cambio autorizado que la justifique. Una entrada sin ninguna de las tres no se condena por eso, pero queda en la lista de lo que hay que seguir.

Ojo: «nuevo» y «malicioso» no son sinónimos. Cada instalación legítima de un controlador o de una utilidad de TI también crea entradas nuevas. El trabajo es separar la entrada que se explica sola de la que no.

En un informe de entorno aislado el tiempo se cuenta en segundos desde el inicio del análisis, no en horas del reloj. Eso permite medir cosas útiles: cuánto espera una muestra antes de actuar, o qué hace en los primeros segundos. Con la hora del proceso y la de cada escritura se obtiene el intervalo entre abrirse y persistir.

Un intervalo corto dice que la persistencia es parte de lo primero que hace la muestra, y no una reacción a algo posterior. Es un dato que cabe en una línea de tiempo y que otro analista puede comprobar con el mismo informe.

Entre las entradas nuevas de la comparación hay una que arranca un programa de un fabricante de impresoras. TI instaló el controlador el día anterior y existe un ticket que lo dice, aunque a primera vista cumple lo que se busca: es nueva y arranca sola. Los indicadores que el equipo comparte o bloquea se construyen con lo que la evidencia atribuye a la muestra, no con todo lo que apareció ese día.