El árbol de procesos de un Mac

En un Mac, el primer proceso es launchd y su identificador es 1. Él arranca los servicios del sistema, las aplicaciones de la sesión del usuario y los agentes y demonios que declaraste en la sala anterior. Por eso en un Mac es normal que muchos programas tengan al proceso 1 como padre: no es una señal de que alguien los desprendió de su origen.

La consecuencia para el analista es que el padre, en esos casos, no dice quién instaló el programa; solo dice que lo arrancó el sistema de trabajos. Para saber quién lo puso ahí hay que mirar otras fuentes: la creación del archivo, el evento del elemento añadido y la aprobación del cambio.

Abre la consola. La tabla procesos es una captura del árbol de asi-mac-014 con el identificador de cada proceso (pid), el de su padre (ppid), el usuario, si es un binario de plataforma de Apple y su ruta. Una ruta bajo la carpeta personal del usuario, y no bajo las carpetas del sistema o de aplicaciones, es un rasgo a anotar.

Busca el ayudante que viste en las salas anteriores: procesos | where proceso == "ayudante-gastos".

Un árbol se lee hacia abajo desde un proceso: sus hijos son lo que él mismo lanzó. Un programa de ayuda que arranca por un intervalo y lanza a su vez un descargador de archivos de línea de comandos merece una segunda mirada, igual que en Windows y en Linux: el hijo hereda el contexto del padre y el padre decide qué hace el hijo.

Ejecuta procesos | where ppid == 7410 para ver los hijos del ayudante.

El árbol dice qué corre, la tabla de conexiones dice con quién habla. Se cruzan por el pid. Un descargador legítimo, lanzado por una persona en la terminal, se conecta a un servicio interno o conocido; el de un proceso sin firma lanzado por un programa de usuario se conecta a donde esa configuración le diga.

Ejecuta conexiones | where pid == 7433 y anota el destino y el volumen que salió del equipo.

La captura tiene dos cadenas con un descargador de línea de comandos: una nace en la aplicación de terminal de la usuaria y todos sus eslabones son binarios de plataforma; la otra nace en un programa sin firma, ubicado en la carpeta personal y declarado sin cambio aprobado. Las dos usan la misma herramienta, que es legítima en un Mac.

Lo que distingue una de otra no es la herramienta: es quién la lanzó, con qué identidad y hacia dónde.