Cazar persistencia y escalada

La técnica dice que el adversario se garantiza volver a ejecutarse sin tener que entrar de nuevo. La hipótesis la concreta: «si plantó persistencia, existiría una tarea programada o una entrada de arranque creada fuera de una instalación legítima, que lanza algo desde una ubicación que el software normal no usa». Eso apunta a la telemetría de creación de tareas y de cambios en el arranque (Sysmon en el punto final), y define la huella: un mecanismo de autoejecución sin instalador detrás.

Lo que la vuelve cazable es que el mecanismo tiene que quedar escrito para funcionar —una tarea que no está registrada no se ejecutaría—. El adversario no puede persistir sin dejar el rastro; solo puede intentar que ese rastro se confunda con los legítimos.

El intruso elige el nombre de su tarea programada para que pase por legítima: la llama como una actualización, un sincronizador, un servicio de salud del sistema. Cazar por ese nombre es inútil, porque lo cambia en cada intrusión. Lo que le cuesta cambiar es la conducta: una tarea programada que lanza un intérprete de comandos apuntando a un ejecutable en una carpeta temporal del perfil de usuario es rara haga lo que haga, porque casi ninguna tarea legítima nace ahí. Se caza la forma de lo que la tarea hace, no la cadena de texto que el actor eligió.

Esta es la idea que se repite en toda la caza madura: el nombre, la ruta exacta y la IP son baratos de cambiar para el adversario; la conducta —lanzar un intérprete desde una ubicación de usuario— le cuesta porque es parte de cómo opera su herramienta.

Un punto final sano tiene decenas de tareas programadas y entradas de arranque legítimas: actualizadores, agentes de gestión, controladores. La caza no busca «una tarea programada» —hay muchas y todas parecen iguales a primera vista— sino la que no encaja: la creada en una ventana en la que no hubo ninguna instalación, por una cuenta que no instala software, apuntando a una ubicación de usuario en vez de a la carpeta de programas. Se compara lo encontrado contra la línea de base de lo que ese parque considera normal.

Sin esa comparación, el cazador o se ahoga en tareas legítimas o marca como sospechosa la primera que no reconoce. La señal es el desajuste con el patrón del parque, no la mera existencia de un mecanismo de autoarranque.

La persistencia suele venir con escalada de privilegios: el intruso quiere volver, y volver con más poder del que tenía. La huella de la escalada es un cambio de contexto que no cuadra —un proceso que arranca como usuario normal y de pronto opera con privilegios de sistema, una cuenta común que empieza a hacer cosas de administrador—. Cazar esto es buscar el salto de privilegio sin una causa legítima detrás: nadie concedió ese permiso por un canal normal, y sin embargo el proceso lo tiene.

Ligar persistencia y escalada en la misma caza cuenta una historia más completa que cada una por su lado: el intruso no solo se aseguró la vuelta, sino que se aseguró volver con las manos libres. Esa combinación es lo que separa una curiosidad de un compromiso serio.

Abre el laboratorio de tareas programadas del puesto de entrada. Hay decenas de tareas legítimas y una que no encaja: creada sin instalación detrás, por una cuenta que no instala software, que lanza un intérprete desde una carpeta temporal del perfil. El nombre está disfrazado a propósito —se caza la conducta, no la cadena de texto—. La anotación sobre esa tarea lleva el código de la sala.