Cuentas y grupos — lo que cambia sin que nadie lo pida

El controlador de dominio escribe un evento por cada cambio en las cuentas. 4720: se creó una cuenta. 4722: se habilitó. 4724: alguien restableció su contraseña. 4726: se eliminó. 4740: quedó bloqueada por intentos fallidos. Cada uno lleva dos nombres: la cuenta afectada y la cuenta que hizo el cambio. Leer solo el primero es la mitad del trabajo.

En una empresa sana, estos eventos llegan en horario laboral, los hace la cuenta de alguien de soporte o de recursos humanos, y cada uno tiene un ticket detrás. La pregunta del analista no es «¿se creó una cuenta?» —se crean todos los días— sino «¿quién la creó, cuándo y con qué justificación?».

Crear una cuenta da acceso; meterla en un grupo da poder. Los eventos 4728 (añadida a un grupo global de seguridad), 4732 (a un grupo local) y 4756 (a un grupo universal) son los que más miran los equipos de detección, sobre todo cuando el grupo es de administración: Administradores del dominio, Administradores, Operadores de copia de seguridad.

El evento 4672 completa el cuadro: aparece cuando una sesión inicia con privilegios especiales, los de un administrador. Una cuenta que hasta ayer nunca generaba 4672 y hoy lo genera es una cuenta que ganó poder en algún momento, y ese momento suele estar en un 4728 o un 4732 poco antes.

Hay una secuencia que se repite en los incidentes con tanta frecuencia que merece nombre: 4720 → 4722 → 4732 en pocos minutos, de madrugada, hecha por una cuenta que no es de soporte. Es alguien que se fabricó una puerta trasera con forma de usuario: crea la cuenta, la habilita y la mete en Administradores. En MITRE ATT&CK es la creación de cuentas como persistencia (T1136).

El nombre de la cuenta suele intentar pasar desapercibido: «soporte», «backup», «admin2», algo que suene a la casa. Por eso el nombre nunca es la prueba; la prueba es la secuencia, la hora y quién la ejecutó.

En la consola tienes los cambios de cuentas del controlador de dominio del-dc01. Durante el día hay altas y restablecimientos normales de soporte. De madrugada, una cuenta nueva se crea, se habilita y entra en Administradores. Encuentra qué cuenta la creó.