Artefactos de acceso remoto
Rastros de Escritorio Remoto y de aplicaciones de control remoto por navegador, incluidas las extensiones asociadas que sobreviven al cierre de sesión.
Caso de estudio · forense
Alguien entraba de fuera,
y borraba al salir.
Supuesto de accesos remotos no autorizados con acciones dirigidas a ocultar la actividad. Muestra dónde se buscan los rastros cuando alguien ha intentado borrarlos.
Caso de estudio. Supuesto de análisis antiforense de mi formación, resuelto con las herramientas y el criterio que aplico en un encargo. Los trabajos para clientes son confidenciales; este caso muestra dónde se buscan los rastros cuando alguien ha intentado borrarlos.
El planteamiento
Dos preguntas a la vez.
Primera: ¿hubo accesos remotos no autorizados al equipo? Segunda, y más delicada: ¿hubo acciones deliberadas para eliminar rastros?
La segunda es más difícil que la primera. Un borrado bien hecho se lleva el fichero y deja el hueco. Acreditarlo exige documentar esa ausencia como un hallazgo más.
Qué se analizó
Dónde quedan los rastros.
Memoria en disco
Fichero de paginación y fichero de hibernación. Contienen fragmentos de lo que estuvo en memoria y sobreviven a reinicios: a menudo son la última copia de algo que ya se borró.
Caché del navegador
Rastros de sesión y de servicios utilizados que quedan fuera del historial y que un borrado superficial no alcanza.
Herramientas de borrado
Presencia y uso de utilidades de eliminación segura y de limpieza del sistema, con sus marcas de tiempo.
Resultado
Qué quedó acreditado.
- Evidencias técnicas de uso de Escritorio Remoto y de los complementos asociados.
- Indicios consistentes de intentos de eliminación de rastros, con su ubicación temporal.
- Refuerzo de la hipótesis de actividad consciente y planificada, sostenido en la correlación temporal entre accesos y persistencia.
Nótese el vocabulario: «indicios consistentes» y «refuerzo de la hipótesis», en lugar de «se demuestra». Un informe que afirma más de lo que la evidencia sostiene se cae en cuanto lo lee la parte contraria. Esa contención es lo que lo hace utilizable.
Cuándo sirve esto
Cuando la otra parte dice que ahí no había nada.
Es el escenario habitual: se sospecha de una actuación, y cuando se va a mirar, el equipo aparece «limpio». Un equipo limpio obliga a mirar en los sitios donde el borrado no llega.
El factor decisivo es el tiempo. Cada uso posterior del equipo reduce lo que se puede recuperar, y lo hace de forma irreversible.