Contener sin destruir

El puesto sigue encendido y su proceso malicioso mantiene una conexión hacia fuera. Hay que cortar esa conexión, pero apagar de un tirón (quitar corriente) y aislar de la red no son lo mismo. Apagar mata el proceso y frena el daño, sí, pero borra de golpe todo lo que vivía en memoria: el proceso en ejecución, su línea de comandos, las conexiones abiertas, las claves que aún no se escribieron a disco. Aislar de la red —desconectar el cable o cortar su acceso desde el conmutador— frena la vía del atacante dejando la máquina encendida y su memoria intacta para adquirirla.

La regla es sencilla: se corta la comunicación, no la corriente. La máquina viva es una prueba que se puede leer; la máquina apagada es media prueba menos.

Hay evidencia que no está en el disco y desaparece al apagar: el proceso malicioso en ejecución, la lista de conexiones de red activas, los datos que el programa tiene descifrados en RAM, y a veces la clave de cifrado del propio ataque. Si la respuesta empieza apagando, todo eso se pierde para siempre y el análisis se queda sin la mitad de la historia —sabrás que un fichero cambió, pero no qué proceso lo cambió ni con quién hablaba mientras lo hacía.

Por eso el estado "encendido y aislado" es tan valioso: es la única ventana para capturar lo volátil. Cerrarla por prisa es la decisión que no se puede deshacer.

Con la máquina aislada y encendida, la tentación es "echar un vistazo": abrir carpetas, ejecutar herramientas desde el propio equipo, copiar ficheros al escritorio. Cada una de esas acciones escribe en el disco y en la memoria, cambia fechas de acceso y puede pisar justo el hueco donde estaba el rastro del atacante. El principio forense es no alterar la fuente: se adquiere con herramientas que escriben lo mínimo, idealmente a un medio externo, y se anota todo lo que sí se tocó, porque lo inevitable se documenta en vez de esconderse.

Curiosear sobre la evidencia original la contamina, y una evidencia contaminada no solo pierde valor: puede llevar a una conclusión falsa, que es peor que no tener nada.

En mol-ws-arojas el registro de eventos tiene un hueco: media hora sin una sola entrada, justo en la ventana del incidente, y luego reanuda. Un registro que nunca calla y de pronto calla no es un fallo: es una señal. El atacante pudo detener o vaciar el log para trabajar sin dejar huella —borrado de indicadores— y esa ausencia es en sí misma un hallazgo. La respuesta no es "no hay evidencia aquí": es "aquí alguien quitó evidencia, y el hueco marca la ventana donde mirar en otras fuentes" (memoria, disco, registros de red que el atacante no controlaba).

Leer la ausencia como dato es lo que separa al que solo busca líneas malas del que reconstruye lo que pasó. El silencio, en una fuente que no calla, vale tanto como una alerta.

Abre el laboratorio de mol-ws-arojas y lee el registro de eventos del sistema. En plena ventana del incidente hay media hora en la que el registro se queda sin una sola entrada y luego continúa: ese silencio, en una fuente que no calla, es el borrado de indicadores. La anotación del analista junto a ese hueco lleva el código de la sala.