Leer un árbol de procesos

Cada proceso tiene un número, el pid, y recuerda el de quien lo creó, el ppid. Con esas dos columnas se arma un árbol. Pero un pid no es un nombre propio: el sistema reutiliza los números cuando un proceso termina. Por eso, cuando un EDR conserva el árbol, no se fía solo del pid: lo acompaña de la hora de inicio y de un identificador interno propio, y por eso una tabla de procesos se lee siempre junto con las horas.

Dos filas con el mismo pid en horas distintas son dos procesos distintos.

Abre la estación y lee procesos.csv. Hay una rama que no cuelga del navegador ni de la hoja de cálculo, sino directamente del explorador: un ejecutable cuyo nombre imita un documento. El primer paso para valorar una cadena es mirar de dónde se ejecutó su proceso raíz, porque la carpeta dice mucho del origen del archivo (copiado a mano, bajado de internet, instalado).

El árbol conserva la cadena aunque el padre ya haya terminado. Eso es lo que lo distingue de un evento suelto: un proceso intermedio puede llevar minutos muerto y seguir apareciendo en su sitio, con su estado: terminado. Para saber cuánto se extendió una rama se cuentan todos sus descendientes, hijos, nietos y siguientes, sin contar la raíz.

Parte del proceso raíz de la tarea anterior y sigue los ppid hacia abajo.

Casi todo programa tiene un lugar y un padre esperados. El proceso svchost.exe legítimo es un host de servicios: lo lanza services.exe y corre desde la carpeta del sistema. Un archivo con ese nombre en otra ruta y con otro padre no es ese servicio, aunque el nombre coincida: es un nombre prestado. La comparación se hace con lo que la tabla ya muestra del caso normal (la fila 788) y con lo que muestra del caso dudoso.