El puesto y la tarea que nadie pidió

Un adversario que persiste busca parecerse a lo que ya hay: una tarea con nombre de actualización, en un equipo donde TI también crea tareas de actualización. El nombre es lo más barato de cambiar y lo menos fiable. Lo que no se puede disfrazar tan fácil es quién la creó, desde qué sesión, qué ejecuta y desde qué ruta, y si figura en la lista que TI aprobó.

Por eso la comprobación de una tarea sospechosa siempre es un cruce: sus atributos contra la lista de lo aprobado.

Abre la lista de tareas programadas del equipo y la de las aprobadas. Una de las tareas existe en un solo sitio.

El registro del punto final cuenta qué ocurrió en el equipo, pero la dirección que aparece en un inicio de sesión remoto no es de una persona: es una dirección interna que la VPN asignó a una sesión concreta. Para saber quién estaba detrás, se cruza con el registro de la VPN, que dice desde dónde y a qué hora se abrió esa sesión.

Una tarea programada es un envoltorio: lo que importa es qué lanza. El registro de creación de procesos tiene el intérprete, su proceso padre y los argumentos, y entre ellos, el nombre del archivo que ejecuta. Ese archivo es el siguiente hilo de la caza.

Ya hay una tarea que TI no aprobó, creada desde una sesión remota que la cuenta no abrió desde su origen habitual. Es un indicio fuerte, pero el cazador no es quien contiene: su trabajo es preservar la evidencia y seguir tirando del hilo hasta saber hasta dónde llega.