Ejecución en Linux

En Linux no hay Prefetch ni Amcache; la ejecución y el acceso se reconstruyen con otras tres fuentes. El historial del intérprete (.bash_history) guarda los comandos que se tecleó la cuenta; los registros de autenticación (/var/log/auth.log) anotan quién inició sesión, cuándo y desde dónde, y cada uso de sudo; y el journal del sistema registra los servicios y procesos que arrancaron. La misma sesión aparece en las tres, descrita desde ángulos distintos: el historial dice qué se escribió, la autenticación dice quién y desde dónde, el journal dice qué corrió.

Leer una sola fuente da media foto. El oficio es cruzarlas por hora hasta que las tres describen la misma sesión y se confirman entre sí.

El registro de autenticación es el que ata el incidente de una máquina a la otra. En auth.log de mol-fs01 aparece que la cuenta svc-finanzas entró por SSH desde mol-ws-arojas —el puesto ya comprometido— a la hora del incidente, y acto seguido usó sudo para ejecutar una orden. Ese «desde dónde» es lo que convierte dos máquinas analizadas por separado en una sola cadena de ataque: el atacante usó el puesto como trampolín hacia el servidor, con una credencial válida.

La autenticación no dice solo que alguien entró; dice desde dónde, y ese origen es la costura que une el salto de una máquina a la siguiente.

El atacante termina su sesión con history -c, que vacía el historial del intérprete para no dejar rastro de lo que tecleó. Pero esa cuenta no controla las otras dos fuentes: auth.log y el journal del sistema los escribe el propio sistema operativo, no el usuario, y ahí quedan el inicio de sesión, el sudo y el proceso que arrancó. Así que el intento de limpieza deja ver menos de una fuente y nada de las otras dos —y el propio hueco en el historial, comparado con lo que sí registró el journal, es en sí una señal de que alguien borró.

Que una fuente esté limpia no significa que no pasó nada: significa que hay que mirar las que el atacante no controlaba. La limpieza incompleta es una pista, no un callejón.

Abre el laboratorio de la ejecución en Linux. Tienes el auth.log, el historial y el journal de mol-fs01, y el resumen donde el analista los cruzó: la cuenta que entró desde el puesto comprometido, usó sudo para empaquetar los datos de finanzas y luego intentó borrar su historial. Ese resumen, el que ata la sesión al comando, lleva el código de la sala.