Leer un script de PowerShell bloque a bloque

Leer un script no es buscar «la palabra mala». Es recorrerlo de arriba abajo en bloques de tres a cinco líneas y escribir al lado de cada bloque una frase que empiece por «este bloque...». Así el script deja de ser una pared de texto y se vuelve una secuencia de pasos: esperar, preparar una carpeta, pedir algo por la red, guardarlo, dejarlo para el próximo arranque, usarlo.

El método no necesita ejecutar nada, y por eso es el primero: ejecutar un script desconocido «para ver qué pasa» cambia la evidencia y puede hacer lo que el script hace en un equipo de la empresa. La lectura, en cambio, es repetible: cualquier colega lee el mismo texto y llega a las mismas frases.

En PowerShell, una descarga se reconoce por cmdlets y clases que piden algo a una dirección: Invoke-WebRequest, Invoke-RestMethod o System.Net.WebClient con su método DownloadString. Lo que importa al leer es la dirección que reciben, porque es el primer indicador de red que deja el script. Una dirección se anota completa, y de ella se separa el nombre del servidor.

Abre el script del caso SIB-IR-0216 en la estación de lectura y localiza el bloque que pide algo a internet.

La clave de registro HKCU\Software\Microsoft\Windows\CurrentVersion\Run es una lista de programas que Windows lanza cuando el usuario inicia sesión. Que un script escriba ahí es lo que se llama dejar persistencia: lo que hace hoy volverá a ocurrir mañana sin que nadie lo abra. Escribir en esa clave no es malicioso por sí mismo —muchos programas legítimos lo hacen—; lo que dice algo es quién escribe, qué nombre le pone y a qué apunta.

El nombre del valor es un indicador útil: es el texto que un analista buscaría después en otros equipos para saber si el script llegó a más sitios.

Invoke-Expression (a veces abreviado iex) toma un texto y lo ejecuta como si fueran órdenes de PowerShell. No cambia el texto: solo lo convierte de «datos» a «instrucciones». Por eso, cuando delante hay un texto que vino de la red, la lectura se detiene ahí: lo que ocurra después depende de algo que el script todavía no tiene en el archivo.

Es un patrón que se anota en el informe como comportamiento, no como veredicto: un administrador también puede usarlo. Lo que lo vuelve preocupante es la combinación: texto descargado de un servidor externo más ejecución inmediata.

Muchos scripts esperan antes de hacer nada con Start-Sleep. La pausa no es un daño: es un comportamiento que se anota porque cambia lo que ve un análisis corto. Un entorno que observa un archivo durante unos segundos puede no ver nunca la parte que ocurre después de esperar, y quien lee el texto sí la ve.

La unidad de -Seconds son segundos. Si el valor está guardado en una variable, se busca dónde se asignó.