Procesos, árbol y línea de comandos

Cada proceso lleva el número de su padre (PPID). Windows tiene familias predecibles: los servicios los lanza services.exe, el escritorio vive bajo explorer.exe, y un documento de oficina no tiene por qué ser padre de un intérprete de comandos. Un nombre legítimo con un padre que no le corresponde es la primera señal, y se ve en el árbol, no en una lista plana.

Un proceso cuyo padre ya no existe aparece en la raíz del árbol. Eso es normal para algunos (el escritorio) y llamativo para otros.

Abre pslist.txt y pstree.txt. Hay varios svchost.exe, y es normal. Lo que no es normal es que uno tenga un padre distinto del esperado. Compara la columna PPID de cada uno con el proceso que debería ser su padre.

El nombre no dice nada que el atacante no pueda copiar; la línea de comandos sí. El plugin cmdline muestra la ruta completa del ejecutable y sus argumentos. Un svchost.exe auténtico vive en la carpeta del sistema y arranca con un argumento de servicio; uno que vive en la carpeta de datos temporales de un usuario es otro programa con el nombre prestado.

Lee cmdline.txt y localiza el proceso que identificaste en la tarea anterior.

pslist recorre la lista que el sistema mantiene de los procesos vivos. psscan hace otra cosa: busca por toda la memoria estructuras con la forma de un proceso, enlazadas o no. Por eso encuentra procesos que ya terminaron pero cuya estructura todavía no se reutilizó, y los muestra con su hora de salida.

En psscan.txt aparece cmd.exe con padre WINWORD.EXE y una hora de salida a los cuatro segundos de empezar. No está en pslist.

El caso interesante es el contrario: una estructura de proceso sin hora de salida (por tanto, viva) que falta en pslist. Un proceso vivo que la lista de vivos no incluye no se explica por haber terminado. Se explica porque alguien lo sacó de la lista, o porque la lista es incompleta, y exige una explicación antes de seguir.

Revisa de nuevo psscan.txt.