Contrastar con el disco y con los registros

La memoria se analiza con herramientas que interpretan estructuras internas del sistema; si una está alterada o incompleta, la lectura puede ser parcial o errónea. Por eso un hallazgo de memoria se trata como una hipótesis fuerte y se busca una segunda fuente independiente: el disco, los registros del propio equipo y, mejor todavía, los de otro sistema que el atacante no controlaba.

Cuando dos o tres fuentes independientes cuentan la misma historia y la hora cuadra, el hallazgo se sostiene.

La memoria dio el ejecutable sospechoso y su ruta. En el disco, la tabla maestra de archivos (MFT) guarda la hora de creación de cada archivo, y el Prefetch registra cuándo se ejecutó un programa y cuántas veces. Si coinciden con lo que dijo la memoria, la hipótesis gana peso; si el archivo no existe, hay que explicarlo (¿se borró? ¿nunca estuvo en disco?).

Abre disco-mft-y-prefetch.txt y busca el ejecutable que la memoria ubicó en la carpeta de datos temporales del usuario.

Los registros de eventos del propio equipo dicen quién inició sesión y qué proceso se creó, pero son los primeros que un atacante intenta borrar. Cuando el registro de seguridad tiene un evento que dice que se borró el registro de auditoría, todo lo anterior a esa hora ha desaparecido, y lo que sí aguanta es la memoria y lo que otros sistemas anotaron.

Esa ausencia no es una laguna cualquiera: es un hecho en sí mismo, y hay que anotarlo con su hora.

El equipo comprometido es el que menos fiable es como testigo. El servidor de archivos, en cambio, anota sus propios accesos y el atacante no lo controlaba. Si el servidor dice que desde la dirección del equipo se abrió un recurso a la hora en que la memoria dice que nació un proceso con una sesión de red hacia él, las dos fuentes se refuerzan.

Lee pie-fs01-accesos.txt y fíjate en el acceso que cuadra con el proceso que solo psscan veía.

Dos fuentes que cuentan lo mismo no tienen por qué marcar la misma hora al segundo: el proceso nace antes de que abra la sesión de red, y los relojes pueden diferir. Lo que se mide es si la diferencia es plausible. Si el proceso nace y, unos segundos después, el servidor ve el acceso, la historia es coherente; si fueran horas, habría que dudar o buscar otra explicación.

Calcula la diferencia entre la hora de creación del proceso 6480 (en hallazgos-memoria.txt) y el acceso al recurso compartido.