incibe_toma_evidencias_analisis_forense

5.3.4.4. Configuración del firewall de Windows.En la configuración del firewall de Windows se almacenan las aplicaciones permitidas, lospuertos abiertos y demás información relacionada con el propio firewall.Para exportar dicha información se debe ejecutar la siguiente instrucción:reg export"HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy" "HKLM-FirewallPolicy-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"Ilustración 17: Excepción de malware en el firewall de WindowsUn caso práctico corresponde a un equipo en el que había ocurrido una fuga de informacióncorrespondiente a datos bancarios del propietario del mismo y tras analizar dicha entrada deregistró se constató que en el firewall había establecida una excepción para que el programadfsdasdcxz.exe pudiera conectar con el exterior, como se puede observar en la Ilustración 17.Tras una investigación posterior del propio fichero se determinó que era un malware que teníafunciones de keylogger y que enviaba la información recopilada a un servidor externo.5.3.4.5. Programas que se ejecutan al iniciar el sistema operativo.Las principales entradas de registro donde se almacenan el listado de programas que seejecutan al iniciar el sistema operativo son las siguientes:HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell FoldersHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell FoldersHKCU\Software\Microsoft\Windows\CurrentVersion\RunHKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceHKCU\Software\Microsoft\WindowsNT\CurrentVersion\WindowsHKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell FoldersHKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell FoldersHKLM\Software\Microsoft\Windows\CurrentVersion\Policies\ExplorerHKLM\Software\Microsoft\Windows\CurrentVersion\RunHKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceHKLM\SYSTEM\CurrentControlSet\Control\Session ManagerToma de evidencias en entornos Windows 40