El árbol de procesos, quién lanza a quién

Cada proceso del informe trae dos números: su PID (su identificador en esa ejecución) y el PPID, el PID del proceso que lo creó. Dibujar el árbol es unir cada proceso con su padre. La muestra es una raíz entre otras: el entorno la abre desde el Explorador, y de ella cuelgan los procesos que ella misma lanzó.

Esa relación es la base de la atribución. Un proceso es conducta de la muestra si cuelga de ella (hijo, nieto...); si cuelga de otro, el solo hecho de aparecer durante la captura no lo convierte en suyo.

Con la primera consulta ves los nueve procesos del informe. La segunda filtra los que tienen como padre el PID 2260, el de Relacion_Pesajes_0923.exe. Son los primeros que se leen: lo que la muestra lanzó sin intermediarios. Fíjate en la línea de comandos de cada uno, porque dice qué le pidió la muestra que hiciera.

Entre los hijos de la muestra hay uno que arranca bastante después que los demás (a los 20 segundos) y desde una ruta distinta: una carpeta del perfil del usuario, no una del sistema. Un programa que se lanza desde AppData y no desde Windows\System32 merece atención, porque la muestra lo puso allí. Su nombre es un dato que irá a la lista de indicadores, pero solo si se confirma de dónde salió; la sala siguiente, la de archivos y registro, lo comprueba.

La consola tiene un hijo que no pidió nadie: conhost.exe. Windows lo crea para dibujar toda ventana de consola, la abra quien la abra. Lo mismo ocurre con otros componentes del sistema. Si los atribuyes a la muestra, tu informe inventa conductas que no existen. Se descartan del relato porque su presencia se explica por lo que Windows hace siempre, no porque sean «buenos»: se anota que están y por qué se dejan fuera.

La última consulta enseña dos procesos que arrancan cuando la muestra ya llevaba un rato en marcha. Que algo empiece después de la muestra es una coincidencia en el tiempo, no una relación. La relación la da el padre. Uno de ellos cuelga de services.exe, el gestor de servicios de Windows, y es el indexador de búsqueda que arranca solo.