Informe de primer contacto — equipo de respuesta a incidentes
Hora de llegada al puesto: 2026-03-14 02:35:00 UTC
Reportado por: SOC (alerta de Wazuh disparada por el borrado del log de seguridad a las 02:31:05)

Estado observado al llegar:
- El equipo sigue ENCENDIDO y con la sesión de administrator iniciada.
- No hay indicios visuales de cifrado de ficheros en curso (sin ventanas de rescate, sin extensiones de fichero cambiadas).
- El Administrador de tareas muestra svc_update.exe y powershell.exe en ejecución.
- netstat muestra una conexión activa establecida hacia 203.0.113.44:4444.
- No hay usuarios conectados físicamente al puesto en este momento (sesión RDP activa en segundo plano).
- El equipo pertenece a un servidor de ficheros con acceso a varios recursos compartidos de red.

Recursos disponibles in situ:
- Portátil de respuesta con KAPE, Volatility3 y un disco externo cifrado para evidencia.
- Acceso de administrador de dominio (con autorización del CISO, ya concedida).
- Sin acceso físico inmediato al switch de red del puesto (está en un armario de otra planta).
