Cubadebate

Hola mis estimados lectores, sean bienvenidos como cada semana. Si ustedes recordarán, hace un tiempo ya acá en #CódigoSeguro, dedicábamos una entrega al Análisis Forense titulada "Huellas digitales en la escena del cibercrimen". En esa ocasión hablábamos de cómo los forenses digitales son los nuevos sheriffs de la era moderna. Vimos que, al igual que Gil Grissom en CSI, estos profesionales llegan a una escena (un servidor hackeado) y buscan rastros invisibles. Pero ¿dónde ocurren la mayoría de esos crímenes? ¿Dónde viven la gran mayoría de los datos que usamos a diario? La respuesta es simple y abrumadora: nuestro archiconocido de poco más de 4 décadas, Microsoft Windows.

Windows no es solo un sistema operativo; es el ecosistema donde se libran el 90% de las batallas corporativas y personales. Es el lugar donde trabajamos, guardamos recuerdos, gestionamos finanzas y, lamentablemente, donde los ciberdelincuentes encuentran su terreno más fértil. Si en el artículo anterior aprendimos qué es la informática forense, en esta ocasión vamos a abrir el capó y descubrir cómo se interroga a Windows para que confiese la verdad.

El mito del "borrado" y la memoria volátil
Existe una creencia popular, casi infantil, de que al presionar Shift + Delete o vaciar la papelera de reciclaje, el archivo desaparece para siempre. En el mundo forense, esto es una fantasía. Windows es un sistema maravillosamente complejo, pero también terriblemente "charlatán". Cuando eliminas un archivo, el sistema operativo no borra los datos del disco duro; simplemente elimina el puntero que le dice al sistema dónde está ese archivo. Los datos siguen ahí, flotando en el limbo del disco duro, hasta que algo más los sobrescribe. El análisis forense en Windows se basa en recuperar esos fantasmas.
Pero el verdadero tesoro no está en el disco duro, sino en la memoria RAM. Aquí es donde el análisis forense se vuelve disruptivo. La RAM es volátil: si apagas el equipo, la información se desvanece. Los forenses digitales saben que la evidencia más fresca, como procesos maliciosos en ejecución, contraseñas en texto claro o conexiones de red activas, solo vive ahí. Herramientas como Volatility o FTK Imager permiten capturar esa "foto" de la memoria antes de que el equipo se apague. Es como intentar atrapar una gota de lluvia antes de que toque el suelo.

El registro: El diario secreto de Windows
Si la RAM es el presente, el Registro de Windows es el pasado. Es una base de datos jerárquica donde el sistema guarda absolutamente todo: qué programas se instalaron, qué dispositivos USB se conectaron, qué usuarios iniciaron sesión y a qué hora. Para un forense, el Registro es como el diario íntimo de un sospechoso.
¿Quieres saber si alguien copió información confidencial en una memoria USB? El Registro tiene la respuesta a través de las claves USBSTOR. ¿Quieres saber qué programa se ejecutó justo antes de un ciberataque? Las ShimCache o los Prefetch lo revelan. Los atacantes intentan borrar sus huellas, pero el Registro es como una hidra: cortas una cabeza y aparecen tres más. Los forenses utilizan herramientas como Registry Explorer o RegRipper para diseccionar estas claves y reconstruir la línea temporal de los hechos.

La cronología del crimen: Los archivos LNK y el MFT
Imagina que eres un detective en una escena de crimen. Tienes miles de objetos, pero necesitas saber qué pasó primero. En Windows, esto se logra a través de los archivos LNK (accesos directos) y la MFT (Master File Table).
Los archivos LNK son pequeños grandes delatores. Cada vez que abres un documento, Windows crea un acceso directo reciente. Aunque el archivo original se borre, el LNK puede contener metadatos como la ruta original, el tamaño del archivo y hasta el número de serie del volumen donde estaba guardado. Por otro lado, la MFT es el índice maestro del disco duro. Es un registro de cada archivo que ha existido en un volumen NTFS. Analizar la MFT permite a los forenses encontrar archivos que han sido eliminados, renombrados o movidos, incluso si el usuario intentó ocultarlos en las profundidades del sistema.

Más allá de las herramientas: La técnica del "Triaje"
El análisis forense en Windows no se trata solo de usar software caro. Se trata de metodología. En el mundo real, los incidentes ocurren en servidores en producción que no pueden apagarse. Aquí entra en juego el triaje forense.
Un forense moderno no llega y desconecta todo. Llega, ejecuta herramientas de recolección en vivo (como KAPE o CyLR), extrae los datos más críticos (logs de eventos, procesos, conexiones de red) y luego, si es necesario, procede a la adquisición completa. Esta técnica es disruptiva porque rompe el paradigma del "laboratorio aséptico". Ahora, el forense trabaja en el campo de batalla, con el enemigo aún dentro de la red.

La batalla de los logs: Event Viewer y Sysmon
Windows tiene un sistema de registro de eventos llamado Event Viewer. Los atacantes sofisticados saben que deben borrar estos logs para no ser detectados. Sin embargo, aquí es donde entra en juego la inteligencia forense. Si un atacante borra los logs de seguridad, ese mismo acto de borrado genera un nuevo log. Es una paradoja delatora.

Para contrarrestar esto, los forenses y los equipos de seguridad implementan Sysmon, una herramienta de Microsoft que registra eventos a un nivel mucho más profundo: creación de procesos, conexiones de red, cambios en el registro. Cuando un atacante intenta usar PowerShell para descargar un malware, Sysmon lo captura. El análisis forense en Windows se convierte entonces en una carrera armamentista: el atacante intenta ocultarse, el forense usa Sysmon para iluminar la habitación.

El reto de la cifrado y la nube
No todo es color de rosa. El análisis forense en Windows enfrenta hoy dos grandes muros: el cifrado y la nube. BitLocker, la herramienta de cifrado de disco de Windows, es un dolor de cabeza para los investigadores. Sin la clave de recuperación, el disco es un ladrillo inservible. Los forenses deben recurrir a técnicas de extracción de claves desde la memoria RAM o a la cooperación con el usuario legítimo.

Por otro lado, la migración a la nube (OneDrive, SharePoint, Google Drive) ha descentralizado la evidencia. Ya no basta con analizar el disco duro local; hay que analizar los registros de acceso, los tokens de autenticación y las sincronizaciones. El forense de Windows ahora debe ser también un experto en redes y servicios en la nube.

Windows como testigo
Windows es un testigo mudo, pero increíblemente detallado. Cada clic, cada archivo abierto, cada dispositivo conectado deja una huella imborrable en su arquitectura. El análisis forense en Windows no es solo una disciplina técnica; es una forma de hacer justicia en un mundo donde los delitos ya no dejan sangre, sino logs.

Como vimos en el artículo anterior, la informática forense es la disciplina que convierte ceros y unos en pruebas irrefutables. En Windows, esa disciplina se vuelve cotidiana. La próxima vez que escuches sobre un ciberataque, recuerda que, en algún lugar, un forense está revisando el Registro de Windows, analizando la memoria RAM o descifrando un archivo LNK. Porque en el mundo digital, como en la vida misma, el que la hace, la paga… y Windows lo tiene apuntado en su diario.

Nos vemos en la próxima entrega, donde exploraremos el análisis forense en entornos móviles (Android e iOS). Por hoy es todo, nos despedimos hasta la próxima semana.