Autoarranques y tareas programadas

Los sitios habituales son cuatro: las claves Run del registro (por equipo o por usuario), las carpetas de Inicio del menú, las tareas programadas y los servicios. El artefacto Windows.Sys.StartupItems de Velociraptor revisa las claves Run y las carpetas de Inicio y cruza el estado de habilitado; Windows.System.TaskScheduler lee las definiciones de las tareas (archivos XML) con su comando y su usuario. En osquery, las tablas equivalentes son startup_items, scheduled_tasks y services.

La ubicación dice el alcance: una entrada Run de equipo se aplica a todos los usuarios; una Run de usuario solo a ese perfil. Una tarea con el usuario SYSTEM corre sin sesión abierta; una a nombre de una persona, con su cuenta.

De cada tarea importa quién la creó, qué ejecuta, con qué cuenta y cuándo se registró. Esa fecha permite ubicar el momento en que alguien la dio de alta y compararlo con otros hechos del equipo.

Abre la consola. Ejecuta SELECT * FROM tareas WHERE firmado = 'no'. Una de las dos tareas sin firma pertenece al producto contable de la empresa; la otra no se parece a nada del inventario y se repite durante el día.

Una tarea que se repite deja actividad constante y es fácil de ver en una línea de tiempo. Para medir su ritmo, el intervalo viene en minutos y el analista suele pensar en lanzamientos por día.

Ejecuta SELECT * FROM tareas WHERE cada_min <> '-' y lee el intervalo de la única tarea que se repite durante el día.

A veces un mismo ejecutable se declara en dos sitios a la vez: una tarea y una clave Run, por ejemplo. No es redundancia accidental: cada anclaje arranca el programa en un momento distinto, y quitar uno deja al otro. Para el informe, importa listar todos los lugares donde aparece, porque si se limpia solo uno el programa vuelve.

Compara la tabla tareas con SELECT * FROM startup_items WHERE comando LIKE '%ProgramData%': el comando de la entrada de inicio lleva un parámetro distinto del de la tarea.