Procesos y línea de comandos — el 4688 y su padre

El evento 4688 («se creó un proceso nuevo») es de los más valiosos del registro de Seguridad, y de los que más faltan cuando se necesita. Por defecto Windows no lo escribe: hay que activar la auditoría de creación de procesos en la directiva de grupo. Y aun activado, por defecto no incluye la línea de comandos: hay una segunda directiva, «incluir la línea de comandos en los eventos de creación de procesos», que también hay que encender.

Sin esa segunda directiva, el 4688 dice que se ejecutó powershell.exe y nada más; con ella dice qué le pidieron. Descubrir en mitad de un incidente que la auditoría estaba apagada es una de las lecciones más caras del oficio, y por eso revisar qué fuentes escriben qué es parte del trabajo del analista, no solo de quien administra los equipos.

Cada 4688 trae el proceso creador: el programa que lanzó al nuevo. Esa relación es una de las señales más fuertes que tiene un SOC, porque casi todo programa tiene padres normales. explorer.exe lanza lo que el usuario abre con doble clic. services.exe lanza servicios. Una hoja de cálculo no lanza intérpretes de comandos.

Cuando excel.exe o winword.exe aparecen como padre de cmd.exe o powershell.exe, lo más probable es un documento con macro haciendo algo que el usuario no ve. En MITRE ATT&CK es la ejecución por intérprete de comandos (T1059) y suele venir después de un correo con adjunto. El analista no necesita abrir el documento para sospechar: le basta con ver quién es el padre.

Cuando la línea de comandos sí está, hay argumentos que por sí solos piden atención, aunque no prueban nada. -WindowStyle Hidden pide que no se vea la ventana. -NoProfile evita cargar la configuración del usuario. -EncodedCommand (o -enc) pasa el contenido en Base64 para que no se lea a simple vista. Un administrador puede usar cualquiera de ellos; usar los tres a la vez, lanzados por una hoja de cálculo, ya es una historia.

El analista no ejecuta nada para comprobarlo: lee. Decodificar el Base64 en una herramienta aislada, o mejor aún, buscar el registro de bloques de script de PowerShell (lo verás en la sala siguiente), dice qué contenía sin correr el riesgo.

En la consola tienes los 4688 del equipo del-ws-022 de la mañana del 30 de septiembre, la víspera de la sesión remota de madrugada. Entre decenas de procesos normales hay un intérprete lanzado con la ventana oculta. Encuentra qué programa lo lanzó.