El equipo y su memoria

Lo que un atacante deja para volver al encender el equipo es persistencia, y las tareas programadas son uno de los sitios donde se lee. En una lista de tareas conviven las de la empresa, con su autor y su fecha, y las que alguien creó hoy desde la sesión del usuario. La fecha de creación y el autor separan unas de otras más rápido que el nombre.

Mira también qué ejecutan: una tarea cuyo programa vive en una carpeta de datos del sistema y no en la de la empresa merece atención.

Un nombre de proceso del sistema no prueba nada: lo que identifica a un proceso del sistema es quién lo lanzó y desde dónde corre. Los servicios los lanza el administrador de servicios y su imagen está en la carpeta del sistema. Si un proceso con ese nombre aparece con otro padre y otra ruta, no es el original, aunque en la lista de procesos se vea igual.

Compara el listado de la imagen de memoria con lo que sale del árbol del agente. Hay un proceso con nombre de sistema que no encaja con los demás.

El proxy solo ve el tráfico que pasa por él. Una conexión directa de un puerto que el proxy no gestiona no deja nada en su registro, y la memoria sí puede guardarla, porque guarda las conexiones abiertas en el momento de la captura. Cruzar las dos fuentes es lo que enseña qué se vio por un lado y no por el otro.

Compara los destinos de las conexiones del volcado con los del proxy del equipo.

La memoria guarda también quién tiene sesión abierta y qué procesos usan cada sesión. Una cuenta de servicio con una sesión abierta en un puesto de trabajo es una credencial al alcance de cualquier código que corra en ese puesto. Si el proceso anómalo usa una sesión que no es la del usuario, esa cuenta es candidata a restablecerse, no solo el usuario.

Lee el listado de sesiones y busca qué sesión usa el proceso que ya no se considera de confianza.

Una imagen de memoria es una foto de un instante: muestra lo que estaba cargado cuando se capturó, no todo lo que pasó antes. Lo que aparece se contrasta con el disco y con los registros; lo que no aparece no queda descartado, porque pudo ocurrir y cerrarse antes. Y la memoria no sustituye al disco: la copia del disco sigue pendiente.

Hay que decidir qué se afirma de la imagen y qué se hace con el equipo mientras tanto.