Cómo se usó el equipo, del navegador a las miniaturas

El navegador guarda en su base de datos cada descarga, con la dirección de origen, la carpeta de destino, el tamaño y la hora. Aparte, Windows añade a los ficheros que llegan de internet una marca de la web (un flujo alternativo llamado Zone.Identifier), con la zona de origen y, según el navegador, la dirección de la que vinieron. Son dos fuentes independientes que cuentan lo mismo, y que se confirman entre sí.

Su alcance es acotado: hablan de lo que descargó el navegador de ese perfil. Un fichero que llegó por una unidad externa o por una herramienta de transferencia no tiene ninguno de los dos.

La dirección completa de origen tiene tres partes que importan: el dominio, el camino y el nombre del fichero. El dominio es lo que se busca en la inteligencia de amenazas, lo que se bloquea en el proxy y lo que se rastrea en la flota para saber a quién más le llegó el mismo fichero. Es el dato que se pasa al equipo de red al terminar la fase de análisis.

Lee las descargas del perfil y localiza el archivo comprimido bajado el día del incidente.

Cada vez que una aplicación abre un documento, Windows anota la apertura en la lista de saltos de ese programa para el perfil del usuario, y puede crear además un acceso directo en la carpeta de recientes. Lo que se anota es el fichero, la aplicación y la hora, incluso si el fichero vive en un servidor de archivos. Lo que no se anota es quién estaba delante: los datos son del perfil, no de la persona.

Por eso las listas de saltos se leen siempre junto a las sesiones abiertas en ese momento. La hora de una apertura, sola, solo dice que alguien con esa cuenta lo hizo.

Cruzar una hora con el calendario de sesiones es el modo de pasar de «la cuenta hizo» a «la cuenta hizo desde aquí». En la estación hubo cuatro sesiones: dos interactivas, con teclado y pantalla del equipo, y dos de escritorio remoto, desde otro origen. Las aperturas de documentos de la lista de saltos caen en una u otra.

Compara cada apertura de Excel con las sesiones y quédate con la única que cae dentro de una de escritorio remoto.

Cuando se abre una carpeta con la vista de iconos, Windows genera miniaturas de imágenes y documentos y las guarda en una caché por perfil. Esa caché no se limpia al borrar el fichero original. Una miniatura de una imagen que ya no existe prueba que esa imagen existió y se mostró en una carpeta con vista de miniaturas. No prueba quién la creó, ni que se abriera con un programa, ni cuándo, porque la caché no guarda una hora por miniatura.

El nombre original se recupera cruzando con otros artefactos, y ese cruce no está garantizado: hay que escribirlo como probable, no como seguro.