La estación de trabajo con Windows 11 WKS-ACCT-23 registra un inicio de sesión imposible a las 2026-10-14 09:12 UTC, seguido de la ejecución de procesos sospechosos hasta las 10:05 UTC. Es posible que el atacante solo haya necesitado credenciales válidas y una vía de acceso remoto, sin recurrir a malware que causara daños visibles en la estación de trabajo. Dentro del alcance autorizado de respuesta ante incidentes, debemos determinar qué información pueden aportar el disco y la memoria, preservando al mismo tiempo las pruebas para que otro examinador pueda verificar cada conclusión. Los elementos de prueba son EVD-2026-1014-001 (una imagen de disco) y EVD-2026-1014-002 (una captura de memoria). La siguiente ruta de la evidencia indica dónde deben aplicarse los controles de custodia:
Este diagrama separa la estación de trabajo original del entorno del analista y del depósito de evidencias. Cada límite en las fases de adquisición, transferencia, almacenamiento y análisis genera una oportunidad para alterar, perder o atribuir erróneamente la evidencia; por ello, en cada límite es necesario registrar quién manipuló el elemento, la hora, la ubicación y la verificación de integridad. [fuentes][/fuentes]
El proceso forense transforma los dos archivos recopilados en hallazgos defendibles mediante las etapas de identificación, preservación, recopilación, examen, análisis e informe. La identificación delimita el alcance del incidente, incluyendo el equipo WKS-ACCT-23, el intervalo de tiempo sospechoso y la autorización para manipular el dispositivo. La preservación evita modificaciones en la evidencia original. La recopilación genera copias controladas. El examen extrae artefactos como registros de eventos de Windows, metadatos de procesos y estructuras de memoria. El análisis vincula dichos artefactos con las hipótesis, mientras que la elaboración de informes distingue entre conclusiones fundamentadas e interrogantes sin respuesta.
[fuentes][/fuentes]
El orden de recopilación es importante porque los datos volátiles desaparecen mientras la estación de trabajo permanece encendida. El estándar RFC 3227 (BCP 55) establece el principio de orden de volatilidad: primero se recopila la información susceptible de cambiar y luego se procede con la evidencia más persistente. En el caso de WKS-ACCT-23, la captura de memoria EVD-2026-1014-002 permite preservar procesos en ejecución, conexiones de red y credenciales almacenadas en memoria que se perderían al apagar el equipo. La imagen de disco EVD-2026-1014-001 preserva archivos persistentes y metadatos del sistema de archivos, pero no puede recrear un proceso que ya ha finalizado.
[fuentes][/fuentes]
Omitir la preservación rompe la cadena antes de que comience el examen, ya que la actividad del analista puede modificar marcas de tiempo o sobrescribir artefactos temporales. Omitir el examen genera un cúmulo de datos sin evidencia extraída. Omitir el análisis convierte las observaciones de los artefactos en una narrativa sin fundamento. El proceso no implica que todos los incidentes deban seguir pasos idénticos de forma rígida, pero cualquier desviación debe registrarse indicando su motivo y consecuencia. [fuentes][/fuentes]
Regla para el examen
Capture primero la evidencia relevante más volátil y documente la razón por la que fue necesario seguir un orden distinto. [fuentes][/fuentes]
Una vez generados los elementos EVD-2026-1014-001 y EVD-2026-1014-002, se establece una cadena de custodia: un registro cronológico que detalla qué es cada elemento, quién lo manipuló, dónde se encontraba y cómo se verificó su integridad. El registro asigna identificadores de evidencia estables antes de que comience el análisis. Una descripción significativa permite distinguir una imagen de disco de una captura de memoria, mientras que las marcas de tiempo UTC permiten vincular las transferencias con el periodo de actividad sospechosa.
[fuentes][/fuentes]
La integridad depende de un hash criptográfico, un resumen de longitud fija calculado a partir de un archivo de evidencia. Si la imagen de disco adquirida genera un resumen SHA-256 y una verificación posterior produce un resumen diferente, el examinador no puede afirmar que el archivo posterior permanezca inalterado. Un error frecuente es generar el hash una sola vez durante la adquisición. Nosotros verificamos el hash en el momento de la adquisición, antes y después de la transferencia, al recuperar el elemento para su análisis y al devolverlo al almacenamiento controlado. [fuentes][/fuentes]
Los registros de custodia de ambos elementos de evidencia muestran la información mínima necesaria para una revisión posterior: [fuentes][/fuentes]