Persistencia por servicios y arranque del sistema

Un intruso que quiere asegurarse la vuelta tiene varios sitios donde plantar el mecanismo: una tarea programada (que ya cazaste), un servicio del sistema que arranca solo con la máquina, una clave de arranque que lanza algo en cada inicio de sesión o de equipo. Todos cumplen lo mismo —reejecutarse sin intervención—, pero cada uno queda escrito en un lugar distinto de la telemetría. Conocer el repertorio evita cazar solo donde ya miraste.

El error de quien empieza es creer que «persistencia» es sinónimo de «tarea programada». Si solo cazas tareas, el que plantó un servicio pasa: la hipótesis tiene que cubrir los sitios donde el mecanismo puede anidar, no uno solo.

Un servicio del sistema arranca cuando la máquina enciende, antes incluso de que nadie inicie sesión: un sitio cómodo para persistir. La huella de uno plantado es un servicio recién creado, sin instalador legítimo detrás, cuyo ejecutable está en una ruta que el software normal no usa (una carpeta temporal, el perfil de un usuario). Nace en la ventana del incidente, por una cuenta que no instala software, y arranca de inmediato.

Como con la tarea, se caza por la forma y no por el nombre: el servicio se llamará como algo del sistema. Lo que lo delata es que apunta a un ejecutable en una ubicación de usuario y que apareció sin el rastro de una instalación.

Otra ubicación clásica son las claves de arranque, entradas que el sistema lee en cada inicio para lanzar programas automáticamente. El software legítimo las usa (un actualizador que arranca con el equipo), pero una entrada nueva que apunta a un ejecutable en una carpeta de usuario, creada en la ventana del incidente, es la misma conducta de persistencia en otro sitio. Se caza igual: por la ubicación de lo que lanza y por la falta de origen legítimo.

El patrón se repite en los tres mecanismos: algo que se autoejecuta, apuntando a una ubicación de usuario, sin instalador. Cambia el sitio donde queda escrito, no la forma de la huella.

Cada sitio tiene su normal: un parque tiene decenas de servicios legítimos y varias claves de arranque conocidas. Cazar no es desconfiar de todos; es comparar contra la línea de base de cada ubicación —qué servicios son esperables en ese tipo de máquina, qué entradas de arranque trae el software aprobado—. El plantado es el que no figura en ese normal: creado fuera de un despliegue, apuntando a donde el software bueno no apunta.

Sin esa línea de base por sitio, el cazador o marca el primer servicio que no reconoce o se ahoga en los legítimos. La señal es el desajuste con lo esperado en esa ubicación concreta, no la mera existencia de un servicio o una clave.

Abre el laboratorio de servicios y arranque de bri-ws-lgarcia. Entre los servicios legítimos del puesto hay uno que no encaja: creado en la ventana del incidente, sin instalador, por la cuenta lgarcia, con su ejecutable en una carpeta temporal del perfil y arranque automático con la máquina. El nombre imita un servicio del sistema. Aísla el servicio plantado y lee su anotación hasta el final.