Escenario — tres equipos de Arroceras del Guaviare, un hallazgo

Hay un ejecutable que aparece, con rastro de ejecución, en los tres equipos. En uno está corriendo ahora, en otro está declarado para arrancar con la sesión y en el tercero lo lanza una tarea.

Solo uno de los tres equipos tiene el programa en ejecución en la captura, y ese proceso tiene una conexión abierta hacia fuera de la red interna, que es 192.0.2.0/24.

De los quince artefactos pedidos, una colección no terminó, y por eso de ese equipo no se sabe si el programa tenía conexión abierta en el momento de la captura.

Los tres equipos tienen Prefetch del ejecutable, con una fecha de creación del archivo que se acerca a su primera ejecución. Una de esas fechas es anterior a las otras dos.

Hay un ejecutable sin firma y sin cambio aprobado en una carpeta pública, anclado de dos maneras distintas según el equipo, con una conexión externa vista en un equipo, la colección de conexiones perdida en otro, y un programa del inventario, también sin firma pero con cambio aprobado, que no tiene nada que ver. Falta decidir cómo se informa el caso.