Cuentas que el atacante dejó

Crear una cuenta es una de las formas más limpias de persistir: una vez existe, el atacante entra con usuario y contraseña como cualquier empleado, sin volver a explotar nada y sin binarios que un antivirus pueda marcar. Lo que delata a la cuenta no es su nombre —suele imitar una cuenta de servicio, svc-update o parecido— sino cuándo nació: creada en plena ventana del incidente, de madrugada, sin un ticket ni un procedimiento que la pida. Un alta legítima deja un rastro de por qué se hizo; esta no tiene ninguno.

La pregunta que la descubre no es «¿este nombre existe?», sino «¿cuándo se creó esta cuenta y quién la pidió?». Una creada durante el ataque y sin justificación es del atacante.

Una cuenta nueva solo es peligrosa si tiene permisos, y ahí está la segunda señal: svc-update se añadió al grupo de administradores del dominio minutos después de crearse. Una cuenta de servicio legítima se crea con el privilegio mínimo que necesita y por un procedimiento; una que salta recién nacida al máximo privilegio, de madrugada, es el patrón de un atacante asegurándose control total con una identidad propia. El cambio de pertenencia a grupos es tan revelador como el alta: dice qué puede hacer la cuenta, no solo que existe.

Crear la cuenta abre la puerta; meterla en administradores le da las llaves de toda la casa. Las dos acciones juntas, en la ventana del incidente, son la firma completa.

La persistencia por cuenta es la que más veces reabre un incidente «cerrado», porque la erradicación suele centrarse en los implantes del disco —el binario, el servicio, la tarea— y olvida el directorio de usuarios. Si limpias mol-ws-arojas y mol-fs01 hasta dejarlos impecables pero svc-update sigue en el dominio con privilegios de administrador, el atacante vuelve a entrar como ese usuario y empieza de nuevo, ahora sobre máquinas ya «recuperadas». Por eso el mapeo de la persistencia incluye siempre las cuentas: altas, cambios de grupo y credenciales añadidas en la ventana del incidente.

Erradicar el malware y dejar la cuenta es como cambiar la cerradura y olvidar que hiciste una copia de la llave para el ladrón. La puerta vuelve a abrirse sola.

Abre el laboratorio de las cuentas del dominio de Molino. Entre las cuentas legítimas, de años atrás, hay una creada durante la ventana del incidente y añadida al grupo de administradores. Es la puerta trasera que sobrevive a limpiar los equipos. Su anotación lleva el código de la sala.