Línea de tiempo

Una supertimeline reúne en una sola secuencia ordenada por hora todas las marcas de tiempo que dejan los artefactos: cuándo se creó un fichero, cuándo se ejecutó un programa, cuándo entró una sesión, cuándo salió una conexión de red. Plaso las extrae de la imagen de disco y de los registros y las funde en una lista única. El valor no está en cada evento aislado —eso ya lo tenías—, sino en verlos en orden: la secuencia revela qué desencadenó qué, y transforma una pila de hallazgos en una historia con principio, desarrollo y final.

Sin la línea de tiempo, cada hallazgo es una foto. Con ella, tienes la película, y solo la película te dice el orden real en que ocurrieron las cosas.

En la línea de tiempo aparecen, en este orden: apertura del documento con la macro, nacimiento de powershell.exe, descarga del ejecutable, registro de la tarea programada, y —minutos después— acceso a los ficheros de finanzas. Leído en orden, el relato se arma solo: el documento fue el punto de entrada, la macro lanzó PowerShell, PowerShell descargó y ejecutó el implante, el implante se aseguró la persistencia, y con ella se movió a los datos. Lo que un hallazgo suelto no podía decir —qué fue causa y qué fue consecuencia— la secuencia lo hace evidente.

Confundir causa con efecto es el error clásico: la tarea programada llama la atención, pero no fue el origen, fue una consecuencia. El origen está antes en la línea, en el documento que alguien abrió.

Los artefactos no guardan la hora del mismo modo: muchos registros del sistema van en horario universal (UTC) y otros en la hora local de la máquina, y un reloj mal configurado puede añadir su propio desfase. Si se mezclan sin normalizar, dos eventos que ocurrieron a la vez parecen separados por horas, y el relato se descoloca: pones un efecto antes que su causa solo por el huso. Antes de leer la línea de tiempo hay que normalizar todo a una sola referencia (UTC) y anotar el desfase del reloj de cada máquina, para que la secuencia refleje el orden real y no el artefacto de mezclar husos.

Una línea de tiempo mal normalizada es peor que no tenerla: cuenta una historia coherente y falsa, y nadie sospecha del orden porque parece encajar.

La fuerza de la supertimeline es cruzar orígenes que por separado no se hablan: el disco dice cuándo se creó el fichero, la memoria dice qué proceso lo tenía abierto en el instante de la adquisición, y los registros de red dicen cuándo salió tráfico hacia el exterior. Puestos en la misma línea, se confirman entre sí: el acceso a finanzas en disco coincide en hora con una conexión saliente en los registros de red y con el proceso implante vivo en memoria. Esa coincidencia en tres fuentes independientes es lo que convierte una sospecha en un hecho que sostiene un informe.

Un solo artefacto se puede discutir; tres fuentes distintas apuntando a la misma hora y al mismo hecho, no. La línea de tiempo es donde esa corroboración se hace visible.

Abre el laboratorio de la supertimeline. Ya está normalizada a una sola referencia horaria; ordénala y encuentra el primer eslabón de la cadena, el punto de entrada del que todo lo demás es consecuencia. La anotación sobre ese primer evento lleva el código de la sala.