Escalada de privilegios — lo que deja en la telemetría

En Windows cada proceso lleva un nivel de integridad: Medium para lo que ejecuta un usuario corriente, High para lo que corre con permisos de administrador y System para los servicios del sistema. Subir de nivel es que una muestra pase de un nivel a otro sin que nadie se lo haya dado de forma clara. ATT&CK recoge este oficio en varias técnicas, entre ellas T1548.002 («Abuse Elevation Control Mechanism: Bypass User Account Control»); aquí se usa solo para reconocer el rastro.

El rastro no está en un evento especial: está en el contraste. Un proceso hijo con un nivel de integridad mayor que el de su padre es el salto. En el uso normal, ese salto va precedido de una pregunta al usuario, que en Windows muestra el programa consent.exe. Si el salto ocurre sin esa pregunta y el padre es un proceso corriente, hay que explicarlo.

En la tabla hay dos subidas a High el mismo día. Una es la instalación de un controlador de impresora, y viene precedida por consent.exe. La otra no. Lo que distingue a una de otra son tres cosas en conjunto: el proceso en High, su padre en Medium y la ausencia de la pregunta al usuario.

Esos tres rasgos juntos son la base de una regla de detección. Cada uno por separado salta en cualquier equipo con instalaciones y no sirve; los tres a la vez, sí.

Algunos programas de Windows se elevan solos, sin pregunta, y por eso son un blanco habitual. Para decidir qué hacen consultan, al arrancar, ciertas claves de la zona del usuario (HKCU\Software\Classes), que el propio usuario puede escribir. La telemetría de registro de Sysmon (evento 13) deja anotada esa escritura, con el proceso que la hizo y el valor.

En el informe, la clave tocada es el eslabón que une al proceso que sube con el que lo precede: sin ese dato solo se ve el salto; con él se ve la causa. Se anota el nombre de la clave tal como queda, porque es lo que luego se busca en otros equipos.

Entre la escritura de la clave y la aparición del proceso elevado pasan unos segundos. Ese intervalo, pequeño, es lo que permite correlacionar dos eventos que por separado no dicen nada: una escritura en HKCU es corriente; un proceso en High también. Juntos, en una ventana de pocos segundos y encadenados por el mismo padre, forman un patrón.

Las horas de Sysmon vienen con segundos, y el intervalo se calcula restando. Ese número es el que se pone en la regla como «ventana de correlación».

Con lo que muestran las tablas ya se puede proponer una detección que no dependa del nombre de la muestra ni de su ruta: esos datos cambian de una variante a otra. Lo que se mantiene es la relación entre los eventos. Una buena regla describe el patrón, se prueba contra los datos de un día normal y se acompaña de la lista de excepciones conocidas.