El árbol de procesos, desde el padre

Cada proceso tiene un número, el pid, y guarda el del proceso que lo creó, el ppid. Con esas dos columnas se arma un árbol: un proceso arriba, sus hijos debajo, los hijos de sus hijos más abajo. El agente lo conserva armado y, a diferencia del evento suelto que escribe el sistema, no lo pierde cuando el padre termina: aunque el proceso que abrió la cadena lleve media hora muerto, la cadena sigue ahí.

Importa porque casi ningún proceso es sospechoso por sí mismo. Un intérprete de comandos es la herramienta de trabajo de quien administra sistemas; el mismo intérprete, lanzado por un documento que alguien acaba de abrir desde el correo, es otra cosa completamente distinta. Mismo programa, mismo hash, mismo nombre: cambia el padre y cambia el veredicto.

Abre el laboratorio, mira la tabla entera y fíjate en la columna ppid antes de contestar.

En la mañana de este equipo hay un solo intérprete de comandos, y arrancó sin cargar el perfil, sin ventana y con el contenido codificado. Esos argumentos piden atención y no prueban nada: quien administra sistemas los usa a diario. Lo que decide es de quién es hijo.

Consulta ese proceso, quédate con su ppid y busca el proceso que tiene ese número como pid. Ese es el que lo lanzó.

Sigue subiendo. El proceso que acabas de encontrar también tiene padre, y ese padre tiene el suyo. Dos saltos más arriba llegas al principio de la cadena: un procesador de textos que abrió un archivo desde la carpeta temporal del perfil —que es donde cae lo que se abre directamente desde un correo—, lanzado a su vez por el gestor de correo.

Ese archivo es el objeto que hay que buscar después en la pasarela de correo para medir a cuántas personas llegó, exactamente como hiciste en el módulo de phishing. Escribe su nombre.

Cuando escribas el escalado, no vas a poner «intérprete sospechoso en un puesto». Vas a poner una frase que el turno siguiente entiende en diez segundos, y esa frase sale del árbol, no de la alerta.