Windows, valores de inicio, tareas y servicios

Los valores de inicio automático viven en dos ramas del registro. La rama del equipo (HKLM) se aplica a cualquier persona que inicie sesión en esa máquina y normalmente exige privilegios de administrador para escribirla. La rama del usuario (HKCU) se aplica solo a esa persona y la puede escribir ella misma. Por eso la misma entrada cambia de gravedad según dónde esté: en la rama del equipo afecta a todos los usuarios; en la del usuario, a uno.

También importa de dónde se ejecuta el programa. Uno firmado y instalado en la carpeta de programas del sistema es lo esperable; uno sin firma en una carpeta donde cualquier usuario estándar puede escribir significa que cualquiera con acceso a esa carpeta puede cambiar lo que se ejecuta.

Abre claves-run.txt. La tabla trae, por cada valor, si el programa tiene firma, si su carpeta es escribible por usuarios estándar y cuándo se escribió. Un valor es sospechoso cuando se juntan dos cosas: no tiene firma y vive donde cualquiera puede escribir. Una sola no basta: un programa firmado puede vivir en el perfil de un usuario, y uno sin firma puede estar en una carpeta protegida.

El nombre no cuenta: los que pasan por legítimos suelen llamarse «sync», «update» o «tray».

Una tarea programada dice con qué cuenta se ejecuta, cuándo y qué lanza. Dos cosas la delatan: una cuenta muy poderosa (SYSTEM) con un intervalo muy corto, y la ausencia de un cambio aprobado. Lo primero describe el mecanismo; lo segundo, quién responde por él. Si el cliente no puede mostrar la solicitud de cambio, el evaluador lo anota como «sin respaldo» y no como «malicioso»: la autoría no se afirma sin pruebas.

Abre tareas.txt y compara la última columna.

Un servicio corre con la cuenta que se le asigne, a menudo la de más privilegio, y arranca antes de que alguien inicie sesión. Por eso un servicio con binario sin firma en una carpeta temporal es una de las formas más serias de arranque automático: no necesita ni usuario ni sesión. Un servicio legítimo vive en la carpeta de programas o del sistema y se instala con su software.

En el informe, el binario se identifica por el nombre del archivo, no por la ruta completa, para que la línea se pueda buscar en cualquier exportación.

Ya sabes que el valor, la tarea y el servicio de cdr-fs01 apuntan a programas con el mismo nombre de origen y la misma carpeta. Abre eventos.txt: aparecieron la misma noche, con minutos de diferencia. Eso no es una colección de coincidencias: es un solo origen puesto en tres lugares, para que quitar uno no apague a los otros.

Lo que no sabes es quién fue. La carta (cláusula 6.1) pide, para lo que no puso el equipo de pruebas, suspender esa línea, conservar la evidencia y avisar el mismo día. Y al redactar, decir lo que muestra la evidencia, no lo que se supone.