Procesos: lo esperado y lo que no encaja

Algunos procesos del sistema son únicos: hay uno solo, lo lanza un padre concreto y vive en una sesión concreta. El de autoridad de seguridad local (lsass.exe) es el ejemplo clásico. Por eso su nombre es tan copiado: a simple vista pasa por normal en una lista larga. La defensa es la referencia: antes de mirar la lista, se escribe qué se espera de cada nombre.

Con la referencia delante, un nombre repetido cuando debería ser único ya es un hallazgo, sin necesidad de ningún otro dato.

Abre pslist.txt y pstree.txt. El árbol dibuja a cada proceso bajo su padre; si un nombre que debería ser único aparece dos veces, una de las dos filas sobra, y la forma de saber cuál es comparar el padre, la sesión y la cantidad de hilos y de handles con lo esperado.

La línea de comandos dice desde qué carpeta arrancó el ejecutable. Un nombre prestado casi nunca viene con la carpeta prestada: el original corre desde la carpeta del sistema y la copia tiene que vivir en otro lugar donde alguien pudo dejarla.

Lee cmdline.txt y localiza el proceso de la tarea anterior.

En el árbol, el proceso sospechoso tiene un hijo. Los hijos también se leen: qué lanzó el proceso que no encaja, y con qué argumentos. Mira la columna de la línea de comandos de ese hijo en cmdline.txt y compárala con lo que dice la referencia sobre su nombre.

Un rundll32.exe existe para cargar una biblioteca y llamar a una de sus funciones; por eso una ejecución normal siempre lleva dos datos detrás: cuál biblioteca y cuál función. Si arranca solo, sin nada que cargar, el proceso queda vivo y vacío, y eso es lo que hace útil su nombre conocido: sirve de anfitrión para que otro código se ejecute dentro de él y herede su apariencia.

No se concluye nada solo por esto. Es una pista que se confirma con las otras salidas del volcado.