incibe_toma_evidencias_analisis_forense

Ilustración 34: Fichero Host modificado por un malwareContenía redirecciones para algunas compañías de antivirus con el fin de imposibilitar alusuario acceder a ellas.5.4.13. Comprobar los ejecutables que no estén firmadosDependiendo del tipo de incidente, y principalmente en aquellos relacionados con malware,resulta útil comprobar los ficheros no firmados de ciertas carpetas. Para ello se puede utilizarherramientas como sigcheck 61 .Para ello, se debe escribir la siguiente instrucción:sigcheck -ct -h -vn -vt c:\Windows > "FicherosFirmados-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"sigcheck -ct -h -vn -vt c:\Windows\System32 > "FicherosFirmadosWindows-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"5.4.14. Ficheros LNKLos ficheros con extensión LNK corresponden a accesos directos. Estos ficheros almacenangran cantidad de información que puede resultar relevante en un incidente:• Ruta del fichero al que enlazan.• Tiempos MAC tanto del propio fichero como del fichero que enlaza.• Información de la unidad donde está almacenado (nombre, número de serie, direcciónMAC, etc).• Información de la red, en el caso de que referencie a un fichero almacenado en unaubicación remota.• Tamaño del fichero.Para recopilar todos estos ficheros se pueden emplear diferentes utilidades como lnk-parsero Windows LNK Parsing Utility. Un ejemplo de utilización de lnk-parser es el siguiente:lnk_parser_cmd.exe -o listadoLNKs -w -s C:61http://technet.microsoft.com/es-es/sysinternals/bb897441.aspxToma de evidencias en entornos Windows 67