Artefactos comunes

Un artefacto es un rastro que un sistema operativo o un programa deja como efecto secundario del uso normal: un registro de la ejecución de un programa, la apertura de un archivo, la conexión de un dispositivo o la visita a una página web. Los usuarios rara vez saben que estos rastros existen, lo que los hace valiosos, pero cada uno responde solo a preguntas específicas y tiene limitaciones conocidas. Esta lección presenta los artefactos en los que más se apoyan los examinadores, principalmente en Windows, con un breve repaso de los navegadores, los teléfonos y los servicios en la nube. Su interpretación en profundidad corresponde a cursos de nivel de examinador, como CFX y MFX.

Evidencia de que se ejecutó un programa

• Los archivos Prefetch (C:\Windows\Prefetch, extensión .pf) son creados por Windows para acelerar el inicio de los programas. Cada uno registra el nombre del programa, cuántas veces se ejecutó y cuándo se ejecutó por última vez (en Windows 8 y versiones posteriores, hasta ocho horas de ejecución recientes). Prefetch suele estar habilitado en las versiones de escritorio de Windows, pero a menudo está deshabilitado en los servidores y se puede desactivar.
• Las entradas de UserAssist en el subárbol del registro NTUSER.DAT de cada usuario registran los programas que ese usuario inició a través de la interfaz gráfica, con un recuento de ejecuciones y la hora de la última ejecución. Los nombres de los programas se almacenan ligeramente ofuscados con ROT13, una sustitución simple de letras que las herramientas decodifican automáticamente.

Evidencia de que se abrió un archivo o una carpeta

• Los archivos LNK (archivos de acceso directo) se crean automáticamente en la carpeta Recent del usuario (%APPDATA%\Microsoft\Windows\Recent) cuando se abren archivos. Un archivo LNK almacena la ruta completa del destino y sus marcas de tiempo en ese momento, el tipo de unidad y, en muchas unidades, el número de serie del volumen, lo que puede vincular un archivo con una unidad USB específica.
• Las Jump Lists mantienen, para cada aplicación, los archivos abiertos recientemente con ella (en las carpetas AutomaticDestinations y CustomDestinations dentro de Recent). Muestran qué programa abrió cada archivo.
• Los ShellBags, almacenados en los subárboles NTUSER.DAT y UsrClass.dat del usuario, registran las carpetas que el usuario exploró en el Explorador, incluidas las carpetas de unidades extraíbles y recursos compartidos de red que ya no existen.

El registro y los dispositivos conectados

El registro de Windows es una base de datos de configuración almacenada en archivos llamados subárboles: SYSTEM, SOFTWARE, SAM y SECURITY en C:\Windows\System32\config, y NTUSER.DAT y UsrClass.dat en cada perfil de usuario. Entre sus muchos usos, registra dispositivos de almacenamiento USB. La clave SYSTEM\CurrentControlSet\Enum\USBSTOR enumera los dispositivos de almacenamiento que se conectaron, con el fabricante, el producto y, en la mayoría de los dispositivos, un número de serie; SYSTEM\MountedDevices vincula los dispositivos con letras de unidad; y el registro de texto C:\Windows\INF\setupapi.dev.log registra cuándo se instaló un dispositivo por primera vez. En conjunto, pueden mostrar que una unidad USB concreta se conectó al equipo y cuándo.

Registros de eventos

Windows escribe registros de eventos en C:\Windows\System32\winevt\Logs, en archivos con la extensión .evtx. El registro de Seguridad registra, por ejemplo, los inicios de sesión correctos (ID de evento 4624), los inicios de sesión fallidos (4625) y los cierres de sesión (4634), cuando la configuración de auditoría correspondiente está habilitada. Los registros de Sistema y Aplicación registran servicios, errores e instalaciones. Los registros tienen un tamaño máximo y sobrescriben sus entradas más antiguas, por lo que pueden abarcar solo días o semanas, y un registro vacío o breve puede significar tanto poca actividad como un borrado deliberado, que a su vez deja un evento registrado en el registro de Seguridad.

Navegadores web

Los navegadores guardan el historial, las descargas, las cookies y la caché en sus carpetas de perfil, principalmente en bases de datos SQLite. Los navegadores basados en Chromium, como Chrome y Edge, almacenan el historial en un archivo de base de datos llamado History, con tablas de direcciones visitadas, visitas individuales y descargas; Firefox utiliza places.sqlite. Sus marcas de tiempo usan formatos diferentes (lección 6.2). Las ventanas privadas o de incógnito están diseñadas para dejar poco o ningún historial en el disco, por lo que su ausencia no demuestra que no se haya navegado.

Breve repaso de los teléfonos y los servicios en la nube

En los teléfonos, la mayoría de los datos de las aplicaciones, incluidas muchas aplicaciones de mensajería, se guardan en bases de datos SQLite y archivos de configuración dentro del almacenamiento privado de cada aplicación, junto con los registros del sistema. Los artefactos a los que se puede acceder dependen en gran medida del nivel de adquisición y del estado de bloqueo (módulo 4). Los clientes de almacenamiento en la nube instalados en los equipos mantienen bases de datos locales y registros de sincronización, que pueden mostrar que un archivo se cargó, se descargó o se eliminó, incluso cuando el propio archivo ya no está en el dispositivo.

Resumen de los artefactos

Lo que los artefactos no demuestran

Los artefactos registran la actividad de una cuenta de usuario en un dispositivo, no la de una persona identificada. Si varias personas comparten una cuenta o conocen su contraseña, los artefactos no pueden indicar quién estaba frente al teclado; otras evidencias, como las horas de inicio de sesión, la ubicación de la persona o las grabaciones de cámaras, pueden ayudar. La ausencia de un artefacto tiene limitaciones similares: la configuración, las herramientas de limpieza, la rotación de registros, la navegación privada o un programa diferente pueden explicar esa ausencia. Los hallazgos más sólidos se basan en varios artefactos independientes que concuerdan, y el informe indica qué muestra y qué no muestra cada uno (módulo 7).

Un ejemplo resuelto

Se sospecha que un empleado copió una lista de clientes a una unidad USB. El examinador encuentra una entrada de USBSTOR correspondiente a una unidad con un número de serie específico, conectada por primera vez a las 12:44 UTC. Un archivo LNK y una entrada de una Jump List muestran que la lista de clientes se abrió desde la unidad E: a las 12:47 UTC, y el archivo LNK registra un número de serie del volumen. El registro de Seguridad muestra que la cuenta del empleado tenía una sesión iniciada desde las 08:30. Cada artefacto por separado tiene limitaciones; en conjunto, respaldan el hallazgo de que, a las 12:47 UTC, la cuenta del empleado abrió la lista de clientes desde una unidad USB conectada tres minutos antes. Si el archivo se copió y quién lo hizo son cuestiones distintas que requieren más evidencia.

Enfoque para el examen: Conozca qué artefactos muestran la ejecución de programas (Prefetch, UserAssist), el acceso a archivos y carpetas (archivos LNK, Jump Lists, ShellBags), las conexiones USB (USBSTOR, MountedDevices, setupapi.dev.log) y los inicios de sesión (ID de evento 4624, 4625, 4634 del registro de Seguridad), dónde se encuentran los principales subárboles del registro y que los navegadores almacenan el historial en bases de datos SQLite. Espere preguntas sobre qué demuestra y qué no demuestra cada artefacto, la diferencia entre una cuenta y una persona, por qué la ausencia de un artefacto constituye una evidencia débil y el valor de la corroboración.