El hallazgo de persistencia y su remediación

El título del borrador dice que el atacante instaló persistencia. La evidencia muestra tres mecanismos que apuntan a un mismo origen, creados la misma noche. No muestra quién los creó ni con qué intención: muestra una cuenta de la empresa que los creó. Un título que afirma autoría convierte un indicio en una acusación, y si más tarde resulta que era un técnico apurado, todo el informe pierde credibilidad.

La regla del redactor: el título dice lo que se ve («mecanismos de arranque no autorizados»), la descripción dice cómo se llegó a eso y el análisis de quién es otra cosa que corresponde a quien investigue el incidente.

Cada frase del hallazgo que alguien pueda discutir lleva el identificador de la evidencia que la respalda. El borrador cita dos evidencias, pero afirma tres cosas: que hay una tarea, que hay un servicio y que los usuarios estándar pueden modificar la carpeta del programa. La tercera es la que más importa, porque explica por qué el programa se puede reemplazar. Abre evidencias.txt y busca la que la respalda.

La recomendación del borrador dice «borrar la tarea programada». Eso apaga una de las tres puertas y deja las otras dos, y no toca por qué el programa se puede reemplazar. Un remedio que ataque la causa quita el permiso de modificación a los usuarios estándar en esa carpeta y exige que lo que arranca automáticamente esté firmado. Todo eso va después de conservar la evidencia y de averiguar quién lo creó.

Un buen informe no solo dice qué arreglar: dice cómo darse cuenta si vuelve a ocurrir. Windows deja un evento cuando se crea una tarea, cuando se instala un servicio y cuando se crea una cuenta. Pedirle al cliente que alerte sobre esos eventos convierte el hallazgo en una detección. La tabla eventos-de-referencia.txt los reúne.

El borrador lista tres técnicas de ATT&CK sin decir cuál corresponde a cada mecanismo. Un revisor las empareja con la tabla de la sala 1: el valor de inicio con la técnica de las claves Run, la tarea con la de tareas programadas y el servicio con la de servicios de Windows. Si el emparejamiento falta, el lector del informe no sabe a qué mecanismo se refiere cada identificador.