Anti-forense: ocultación y detección
Desde el módulo 6, el caso que sigue el curso incluye un detalle que se dejó sin explicar a fondo: el Event ID 1102, el borrado del propio log de seguridad. Ese gesto tiene nombre: anti-forense, cualquier técnica deliberada para dificultar, confundir o invalidar un análisis. Este módulo recorre las técnicas más comunes y, en cada una, cómo se detecta — porque casi ninguna es perfecta, y la propia ausencia de algo esperado suele ser, en sí misma, la evidencia.
- Reconocer el timestomping (manipulación de marcas de tiempo) y su huella detectable en la MFT.
- Distinguir un borrado normal de un borrado seguro, y por qué el segundo también deja rastro.
- Entender los fundamentos de la esteganografía y cómo se detecta estadísticamente.
- Ver los metadatos como un arma de doble filo, tanto para el atacante como para el analista.
- Cerrar la explicación del Event ID 1102 que el curso lleva arrastrando desde el módulo 6.
Descarga el paquete de evidencia, descomprímelo y lee el LEEME.md antes de empezar. Verifica el hash según el módulo 2 antes de analizar nada:
Hashes de referencia (ver también LEEME.md):
MFTECmd_timestomp_export.csv→02604bfe582cfa241cb6d7d291ec2e89beb4ad38212f443bccb19b0ad678b136imagen_sospechosa.png→d362a19d0a6f2329f76d83c98a4a2fb7c00fc8dfefe4df568190cb0ffa4029d4
1. Qué es anti-forense
El anti-forense no es un tipo de ataque adicional: es la capa que un atacante cuidadoso añade encima de cualquiera de las técnicas ya vistas en el curso, pensada específicamente para que el análisis de los módulos 3-18 encuentre menos, o encuentre algo falso. Por eso cierra el curso aquí: solo tiene sentido explicarlo después de entender a fondo qué es lo que intenta ocultar.
2. Timestomping: manipular las marcas MACB
Herramientas de timestomping llaman directamente a las funciones del sistema operativo que fijan las marcas de tiempo de un fichero (módulo 4), reescribiéndolas a un valor elegido por el atacante — por ejemplo, para que un ejecutable malicioso parezca tan antiguo como el resto del sistema operativo instalado.
$STANDARD_INFORMATION de la MFT (lo que muestra el Explorador de Windows y lo que la mayoría de herramientas de timestomping modifican) y otra vez, de forma independiente, en el atributo $FILE_NAME. La mayoría de herramientas de timestomping solo tocan $STANDARD_INFORMATION, porque es el único visible desde las APIs estándar de Windows. Una discrepancia entre ambos atributos —$STANDARD_INFORMATION dice 2019, $FILE_NAME dice 2026— es casi una prueba directa de manipulación deliberada.$ MFTECmd.exe -f \$MFT --csv salida/ --de 45201 EntryNumber: 45201 SI_CreationTime: 2019-07-14 10:22:00 # $STANDARD_INFORMATION: manipulado para parecer antiguo FN_CreationTime: 2026-03-14 02:08:55 # $FILE_NAME: el atacante no lo tocó
3. Borrado seguro vs borrado normal
El módulo 3 ya explicó que un borrado normal no sobrescribe los datos, solo desvincula la entrada — por eso el carving funciona. Un wiping deliberado (herramientas como sdelete en Windows o shred en Linux) sí sobrescribe el espacio físico, normalmente con ceros o con patrones aleatorios, varias veces, precisamente para que el carving del módulo 3 no encuentre nada recuperable.
4. Esteganografía: ocultar datos dentro de otro fichero
La esteganografía oculta datos dentro de un fichero contenedor aparentemente inocuo —una imagen, un audio— de forma que su existencia pase desapercibida, no solo su contenido (a diferencia del cifrado, que oculta el contenido pero no el hecho de que algo está cifrado). La técnica más común, LSB (Least Significant Bit), sustituye el bit menos significativo de cada píxel o muestra de audio por un bit del mensaje oculto — un cambio tan pequeño que es imperceptible a simple vista u oído.
| Cómo se detecta | Principio |
|---|---|
| Análisis estadístico de distribución de bits | Datos ocultos por LSB alteran ligeramente la distribución estadística natural de los píxeles/muestras, detectable aunque no sea visible. |
Herramientas especializadas (zsteg, stegdetect) | Automatizan la búsqueda de estos patrones estadísticos anómalos sobre ficheros de imagen y audio. |
| Tamaño de fichero inconsistente con su contenido aparente | Un audio "normal" con un tamaño de fichero mucho mayor del esperado para su duración y calidad es una señal simple pero efectiva. |
Laboratorio guiado ya publicado en Ghost Academy que puedes usar para practicar esta herramienta:
5. Metadatos: arma de doble filo
Recordando el módulo 4: un atacante cuidadoso limpia los metadatos EXIF antes de filtrar una imagen, para no revelar el dispositivo o la ubicación desde donde se generó. Pero esto mismo es un indicio: la ausencia total de metadatos donde normalmente existirían (una foto tomada con un móvil moderno sin ningún EXIF en absoluto) es en sí misma una anomalía digna de atención, no un callejón sin salida. El mismo principio que con el borrado seguro: eliminar deliberadamente algo esperado deja la forma de ese algo, aunque no su contenido.
6. Cerrando el caso: el Event ID 1102
El curso lleva arrastrando sin explicar del todo el borrado del log de seguridad del módulo 6. Con todo lo visto en este módulo, la pieza encaja: borrar el log de seguridad es la forma más directa de anti-forense que existe contra los Event Logs, y es exactamente tan detectable como el resto de técnicas de este capítulo —el propio Event ID 1102 queda registrado en el acto de borrar el log, porque el sistema operativo registra ese evento concreto en un fichero distinto al que se borra. El atacante del caso borró el log de seguridad; no pudo borrar el hecho de haberlo borrado.
7. Rootkits y DKOM: anti-forense en memoria
El módulo 9 ya cubrió esto sin nombrarlo como tal: un rootkit que manipula directamente las estructuras del kernel (DKOM) para desaparecer de pslist es, exactamente, una técnica anti-forense — y la razón por la que psscan (que no depende de esas estructuras manipulables) seguía encontrando lo que pslist ya no veía.
Autoevaluación
- ¿Por qué una discrepancia entre
$STANDARD_INFORMATIONy$FILE_NAMEen la MFT es un indicio casi directo de timestomping? - ¿Qué diferencia hay, en lo que puede recuperar el carving del módulo 3, entre un borrado normal y un wipe seguro?
- ¿Qué diferencia conceptual hay entre esteganografía y cifrado, en términos de qué oculta cada uno?
- ¿Por qué el Event ID 1102 del módulo 6 no logra ocultar el hecho de que el log de seguridad se borró, aunque sí borre el contenido previo de ese log?
- Retomando el módulo 9: ¿por qué un rootkit basado en DKOM cuenta como técnica anti-forense, y qué técnica de este curso lo detecta a pesar de todo?