Rastros del script en el equipo

El registro de bloques de script (evento 4104) guarda el texto que PowerShell procesó, bloque por bloque, con la hora: responde «qué instrucciones corrieron». El registro de procesos con línea de comandos (evento 4688 de Windows o evento 1 de Sysmon) responde «qué programa se creó, quién lo lanzó y con qué argumentos». Los dos son necesarios, y ninguno sustituye al otro.

Cuando se leen juntos se puede armar una línea de tiempo: el proceso nace a una hora, los bloques aparecen después, la conexión de red cae entre ellos. Cada fila con su hora y su fuente; nada de memoria.

Cada bloque del registro lleva su hora. Con ella se ubica un paso del script en la línea de tiempo y se puede decir «a las tantas se escribió tal cosa». Esa hora es del equipo que registró el bloque, no del servidor remoto, y por eso es la que se usa en el informe.

Lee los bloques del puesto sib-ws-05 y localiza el que escribe el valor en la clave de arranque. Cuidado: hay otro bloque con la misma hora que no es el que se pide.

El proceso padre es el que creó al proceso que se mira, y dice mucho sobre cómo empezó todo. Un powershell.exe cuyo padre es el explorador de archivos de Windows lo abrió una persona desde el escritorio o una carpeta; uno cuyo padre es el servicio de tareas lo lanzó una tarea programada; uno cuyo padre es un programa de oficina lo lanzó un documento.

Aquí el padre no es una acusación, es un dato: sitúa el origen de la ejecución en una acción de la usuaria con el archivo ya descargado.

Las horas permiten calcular. La diferencia entre el momento en que nace un proceso y su primera conexión de red dice cuánto esperó antes de actuar, y se puede comparar con lo que dice el texto del script: si el script declara una pausa, el registro debe mostrarla, más un pequeño retraso por la resolución del nombre.

Calcula en segundos la diferencia entre el inicio del PowerShell y su primera conexión saliente. Usa la hora de la conexión, no la de la consulta de nombres.

El registro de bloques muestra que se procesó la instrucción de ejecutar el texto descargado, pero no qué contenía ese texto: el bloque nombra la variable, no su valor. El proxy no guardó el cuerpo de la respuesta. Por tanto, lo que hizo el script después de descargar es una pregunta abierta que los registros de este puesto no contestan.

Un informe honesto lo dice así: lo que se probó, lo que se infirió y lo que se desconoce. No rellena el hueco con lo que «suele pasar» en este tipo de scripts.