Servicios y tareas programadas — lo que vuelve después del reinicio

Cuando se instala un servicio, Windows lo anota en el registro de Sistema con el evento 7045 (y, si la auditoría está activa, en Seguridad con el 4697). El evento trae el nombre del servicio, la ruta del ejecutable, el tipo de arranque y la cuenta con la que correrá. En MITRE ATT&CK, crear o modificar un servicio para persistir es T1543.003.

La ruta es el dato que más dice. Los servicios legítimos viven en C:\Windows\System32 o en C:\Program Files, en carpetas de un fabricante. Un servicio cuyo ejecutable está en C:\Users\Public, en C:\ProgramData suelto o en una carpeta temporal, con arranque automático y la cuenta LocalSystem, es exactamente lo que alguien instalaría para volver con el máximo poder después de cada reinicio.

Una tarea programada hace lo mismo con menos ruido: ejecutar algo a una hora o al iniciar sesión. Su creación deja el evento 4698 en el registro de Seguridad, con el nombre de la tarea, quién la creó y el contenido de la tarea en XML, que incluye el programa que lanza y sus argumentos. En ATT&CK es T1053.005.

Windows y los programas instalados crean tareas constantemente —actualizadores, telemetría, sincronización—, y casi todas viven bajo carpetas con el nombre del fabricante en la biblioteca de tareas. La que merece atención es la que crea una cuenta de usuario normal, en la raíz de la biblioteca, para lanzar un intérprete con argumentos ocultos cada vez que alguien inicia sesión.

El error contrario también cuesta: escalar cada 7045 y cada 4698 entierra al turno. Un parche mensual instala servicios; un programa de inventario crea tareas en todos los equipos el mismo día. La forma de no ahogarse es comparar con lo conocido: el mismo servicio apareciendo en cientos de equipos a la vez, con firma del fabricante y en su ruta de siempre, es un despliegue; uno solo, en un único equipo, con nombre que imita a la casa y ruta en una carpeta pública, es un intruso.

Esa comparación —qué tan raro es esto en el parque— es la base de casi toda detección de persistencia, y es la que hace un SIEM cuando agrupa por nombre de servicio y cuenta en cuántos equipos aparece.

En la consola tienes los 7045 del parque de Delta Cargo de la última semana. Casi todos son del parche mensual y aparecen en decenas de equipos. Uno aparece en un solo equipo, de madrugada, con el ejecutable en una carpeta pública. Encuentra cómo se llama ese servicio.