Persistencia de arranque — más allá de la tarea programada

Un programa que quiere volver tras un reinicio tiene varias puertas: una tarea programada, un servicio del sistema, una clave de arranque que lanza algo al iniciar, un acceso directo en la carpeta de inicio. Todas comparten la misma intención —ejecutarse de nuevo sin que nadie lo pida— y todas quedan registradas: qué se ejecuta y desde qué ruta. El analista que solo vigila las tareas programadas deja tres puertas sin mirar.

Conocer el repertorio de mecanismos de arranque es saber dónde puede esconderse la persistencia. No hay que dominar cada detalle técnico: basta reconocer que un servicio o una clave de arranque recién aparecidos merecen la misma sospecha que una tarea que nadie creó.

Un servicio legítimo del sistema ejecuta su binario desde las rutas protegidas del sistema operativo y lo instaló el fabricante o el equipo de sistemas. Cuando aparece un servicio nuevo cuyo binario vive en una carpeta del perfil del usuario —en %APPDATA% o en una ruta temporal— la bandera es clara: los servicios de verdad no se alojan ahí. El nombre puede sonar corporativo a propósito, pero la ruta del ejecutable lo delata.

La defensa es la misma de siempre: conocer lo normal. Un inventario de qué servicios deben existir hace que uno recién creado, con binario en el perfil de usuario y sin registro de quién lo instaló, salte de inmediato.

No todo lo que arranca con la máquina es sospechoso: el actualizador del navegador, el agente de seguridad del sistema o un acceso directo que el propio usuario puso en su carpeta de inicio son arranques normales. La sospecha se gana con la combinación de tres cosas: origen desconocido, nombre que imita a algo del sistema y ruta de ejecución fuera de lo habitual. Un solo rasgo no basta; los tres juntos sí. El oficio es separar el arranque legítimo del que se disfraza de legítimo.

Marcar todo arranque como amenaza llena la cola de ruido; ignorarlos todos deja pasar la persistencia. El punto está en comparar cada mecanismo con el catálogo de lo que debería estar ahí y quedarse con el que no encaja.

El endpoint tiene tres mecanismos de arranque: una clave legítima del catálogo base, un acceso directo normal del usuario y un servicio que nadie registró, con su binario en una carpeta de perfil. Quédate con el nombre de ese servicio.