GhostForensicsCaso M15Solución paso a paso

Solución — M15: Forense móvil

Spoiler. Resuélvelo tú primero.

1-3. Explorando la base de datos

analista@lab (salida real)

$ sqlite3 mmssms_export.db "SELECT datetime(date/1000,'unixepoch'), type, body FROM sms ORDER BY date"
2026-03-14 01:54:00|2|Ya casi, dame 10 min y te doy acceso
2026-03-14 01:57:10|1|Vale, avisa cuando este activo el RDP
2026-03-14 02:03:30|2|Activado admin con la contrasena de siempre, entra ya
2026-03-14 02:05:02|1|Dentro. Borra esto despues
2026-03-14 02:32:15|2|hecho, borrado todo por mi parte

Dos tablas (sms, contacts), 5 mensajes con un único número de contacto (+34 611 998 877, guardado como "Desconocido"). type 2 = enviado por el propietario del teléfono, 1 = recibido.

4. El mensaje antes del login RDP

02:03:30 — "Activado admin con la contraseña de siempre, entra ya", enviado desde este mismo teléfono 47 segundos antes del Event ID 4624 (login correcto por RDP) a las 02:04:17. No es una coincidencia: el propietario del teléfono facilitó activamente la credencial de administrador al atacante externo.

5. El mensaje después del borrado del log

02:32:15 — "hecho, borrado todo por mi parte", poco más de un minuto después del Event ID 1102 (02:31:05). El propietario del teléfono confirma, desde su lado, haber "limpiado" algo adicional — coherente con participación activa en el intento de ocultación, no solo en el acceso inicial.

6. Conclusión: amenaza interna, no solo externa

Redacción tipo:

"La evidencia del teléfono corporativo del empleado indica una coordinación activa entre un actor interno y la infraestructura externa (203.0.113.44) identificada en los módulos 6, 9, 11 y 12: el actor interno proporcionó credenciales válidas de administrador 47 segundos antes del acceso remoto exitoso, y confirmó el borrado de evidencia adicional un minuto después del Event ID 1102. Este no es un caso de intrusión puramente externa, sino de amenaza interna con colaboración externa."

Este matiz cambia completamente el alcance de la respuesta al incidente (módulo 17): además de contener la amenaza externa, hace falta gestionar al empleado implicado por canales de RR.HH. y legal, no solo técnicos.