Receta Secreta - Guía TryHackMe

Secret Recipe - TryHackMe Write-up: análisis forense del registro y hallazgos

Resumen del caso: Jasmine propietaria del famoso café Coffely guardaba la receta secreta en su portátil de trabajo. James del departamento de TI fue consultado para reparar el equipo y existe la sospecha de que pudo copiar la receta en su propio equipo. Se incautó el equipo de James y se extrajeron artefactos del registro para su análisis.

Conexión al laboratorio: la práctica se realizó en la sala de TryHackMe llamada registry4n6 donde se disponía de las copias de los hives del registro para investigar manualmente con Registry Explorer.

Resultados clave encontrados en los hives examinados

Cuántos archivos hay en la carpeta Artefacts en el Escritorio 6

Nombre del equipo encontrado en el registro James

Fecha de creación de la cuenta Administrator 2021-03-17 14:58:48

RID asociado a Administrator 500

Cantidad de cuentas de usuario observadas en la máquina 7

Cuenta sospechosa con RID 1013 bdoor

Conexión VPN utilizada por el host ProtonVPN

Primera conexión VPN observada 2022-10-12 19:52:36

Tercer recurso compartido observado en el equipo RESTRICTED FILES

Última IP DHCP asignada al host 172.31.2.197

Nombre del archivo que contiene la receta secreta accedido por el sospechoso secret-recipe.pdf

Comando ejecutado desde Ejecutar para enumerar interfaces de red pnputil /enum-interfaces

Herramienta de utilidad de red buscada en el explorador de archivos netcat

Archivo de texto reciente abierto por el sospechoso secret-code.txt

Veces que se ejecutó PowerShell en el host 3

Herramienta de monitorización de red ejecutada Wireshark

Tiempo en segundos que ProtonVPN estuvo en foco según Hives 343

Ruta completa desde la que se ejecutó Everything.exe C:/Users/Administrator/Downloads/tools/Everything/Everything.exe

Metodología empleada: se cargaron los archivos SYSTEM SAM y SOFTWARE en Registry Explorer. En SYSTEM se consultó CurrentControlSet para obtener ComputerName y las interfaces Tcpip para direcciones DHCP. En SAM se analizaron Domains Account Users para extraer información de cuentas y fechas de creación. En SOFTWARE se localizó NetworkList y UserAssist para detectar conexiones VPN y evidencias de ejecución de aplicaciones. También se revisaron las claves RecentDocs WordWheelQuery TypedPaths y RunMRU para reconstruir actividades de usuario y comandos ejecutados.

Conclusión investigativa: el análisis del registro revela actividad sospechosa consistente con exfiltración manual de archivos. Se encontraron referencias a la receta secreta en recent documents y herramientas instaladas para transferencia de archivos y monitorización de red. La existencia de la cuenta bdoor con RID 1013 sugiere una puerta trasera local que debe ser investigada y remediada.

Sobre Q2BSTUDIO: en Q2BSTUDIO somos una empresa de desarrollo de software y aplicaciones a medida especializada en soluciones tecnológicas avanzadas. Ofrecemos software a medida e inteligencia artificial aplicada a empresas, implementaciones de agentes IA y servicios de ciberseguridad diseñados para proteger activos críticos. Nuestros servicios incluyen desarrollo de aplicaciones a medida, integración cloud en AWS y Azure, servicios de inteligencia de negocio y consultoría en Power BI para transformar datos en decisiones. Diseñamos IA para empresas que automatizan procesos y mejoran la detección de amenazas, además de ofrecer auditorías de ciberseguridad, respuesta a incidentes y soluciones de seguridad gestionada. Si buscas software a medida, aplicaciones a medida, servicios cloud aws y azure, inteligencia artificial, ciberseguridad, servicios inteligencia de negocio, agentes IA o power bi contamos con la experiencia para impulsar tu negocio.

Palabras clave para posicionamiento SEO integradas en el contenido: aplicaciones a medida, software a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA, power bi.

Recomendaciones finales: preservar la cadena de custodia de los artefactos originales, ampliar el análisis forense a imágenes de disco completas, auditar la creación y permisos de la cuenta bdoor, revisar logs de red para detectar transferencias hacia ProtonVPN y aplicar medidas de contención y recuperación en los sistemas afectados.