1. Qué es un artefacto forense
Un artefacto es cualquier rastro que el sistema genera sin que el usuario lo pida ni lo sepa. Windows registra de forma continua qué programas se ejecutan, qué carpetas se abren, qué dispositivos se conectan y qué ficheros se usan, porque lo necesita para funcionar rápido. Esos registros, pensados para rendimiento y comodidad, son la materia prima del peritaje.
Su valor está precisamente en que no se escribieron para ser leídos. Quien quiere borrar sus huellas suele acordarse del historial del navegador y casi nunca de Shellbags o de Prefetch.
2. El registro de Windows
Es una base de datos jerárquica repartida en varios ficheros llamados hives. Los relevantes en un peritaje:
- SYSTEM: configuración del equipo, servicios, y USBSTOR, donde quedan los dispositivos de almacenamiento conectados con su identificador y su fecha de primera conexión.
- SOFTWARE: aplicaciones instaladas y datos de la instalación del sistema.
- SAM: cuentas locales, fechas de último inicio de sesión y número de accesos.
- NTUSER.DAT: uno por usuario. Es el más rico, porque contiene actividad de esa persona.
- USRCLASS.DAT: donde viven las Shellbags modernas.
Dentro de NTUSER.DAT, dos claves que declaran casi siempre en un dictamen: RecentDocs, con los últimos documentos abiertos por extensión, y TypedPaths, con las rutas escritas manualmente en el Explorador.
Una advertencia importante: UserAssist registra ejecuciones desde el Explorador con contador y última fecha, pero sus valores están codificados en ROT13 y no incluye lo lanzado desde consola. Presentarlo como registro completo de ejecución es un error que la parte contraria sabrá aprovechar.
3. Prefetch: qué se ejecutó y cuántas veces
Windows guarda en la carpeta Prefetch un fichero por ejecutable, para acelerar arranques posteriores. Cada uno contiene:
- Nombre del ejecutable y un hash de su ruta.
- Contador de ejecuciones.
- Las últimas ocho marcas temporales de ejecución en Windows 8 y posteriores (una sola en Windows 7).
- Lista de ficheros y directorios que el programa cargó.
Ese último punto es el más infravalorado: permite acreditar qué documentos tocó un programa, aunque el documento ya no exista. Si un ejecutable de compresión cargó una ruta de red concreta, ahí queda.
Matiz honesto: Prefetch suele estar desactivado por defecto en servidores y en equipos con SSD según configuración. Su ausencia no prueba que se borrara.
4. Shellbags: qué carpetas se abrieron
Windows recuerda la posición, el tamaño y el modo de vista de cada ventana del Explorador. Para lograrlo necesita recordar qué carpetas se han abierto, y guarda ese rastro en USRCLASS.DAT y NTUSER.DAT.
La consecuencia forense es potente: las Shellbags conservan rutas de carpetas que ya no existen, incluidas las de unidades extraíbles y recursos de red desconectados hace meses. Es una de las mejores vías para demostrar que alguien navegó por una estructura de carpetas de un disco externo.
5. Jump Lists y LNK: los ficheros concretos
Los accesos directos de la carpeta Recent y las Jump Lists de la barra de tareas guardan, para cada documento abierto:
- Ruta completa original.
- Marcas temporales del fichero de destino en el momento del acceso.
- Número de serie del volumen y, a veces, nombre del equipo de origen.
Por eso un acceso directo puede acreditar que un documento existió en una ruta concreta de un pendrive aunque el pendrive nunca se haya intervenido.
6. La MFT y las marcas temporales
En NTFS, la tabla maestra de ficheros tiene una entrada por cada fichero, con dos juegos de marcas temporales:
- $STANDARD_INFORMATION: creación, modificación, acceso y cambio de metadatos. Son las que muestra el Explorador y pueden alterarse con herramientas de manipulación temporal.
- $FILE_NAME: las mismas cuatro, pero mantenidas por el sistema y mucho más difíciles de falsear.
Comparar ambos juegos es una de las técnicas más útiles para detectar manipulación: si las de $STANDARD_INFORMATION son anteriores a las de $FILE_NAME, algo se tocó. La MFT conserva además entradas de ficheros borrados mientras no se reutilicen.
7. Registros de eventos
Los identificadores que más se citan:
- 4624 inicio de sesión correcto y 4625 fallido, con el tipo de inicio (2 local, 3 red, 10 escritorio remoto).
- 4634 / 4647 cierre de sesión.
- 4688 creación de proceso, si la auditoría está habilitada.
- 1102 borrado del registro de seguridad. Este casi nunca es inocente.
- 7045 instalación de un servicio nuevo, habitual en persistencia.
8. Cómo se juntan las piezas
Ningún artefacto prueba nada por sí solo. La fuerza está en la convergencia. Un ejemplo de razonamiento correcto:
- USBSTOR registra la conexión de un dispositivo a las 18:31.
- Shellbags muestra navegación por carpetas de ese volumen a las 18:33.
- Un acceso directo apunta a clientes.xlsx en ese volumen a las 18:41.
- Prefetch acredita la ejecución de una herramienta de compresión a las 18:42, cargando esa ruta.
- El evento 4634 cierra la sesión a las 18:47.
Cinco fuentes independientes contando lo mismo. Eso es un hallazgo sostenible. Una sola de ellas, aislada, es una anécdota.
Y la cautela obligatoria: todo lo anterior acredita lo que ocurrió bajo una sesión de usuario, no quién estaba físicamente ante el teclado.
9. Conclusión
Los artefactos de Windows permiten reconstruir actividad con un detalle que sorprende a quien no se dedica a esto, precisamente porque el usuario no sabe que existen. El oficio del perito no consiste en conocer la lista, sino en cruzar varias fuentes y saber qué no puede afirmarse con ellas.
¿Necesitas ayuda con el análisis forense de un equipo Windows?
En Jaymon Security realizamos análisis forense digital y peritaje informático para procedimientos judiciales, investigaciones internas y respuesta a incidentes, con metodología documentada y cadena de custodia desde el primer minuto.
Consulta nuestro servicio de peritaje informático o contacta con nosotros para valorar tu caso.
Formación relacionada
Si te dedicas o quieres dedicarte al peritaje informático, el procedimiento completo se trabaja en el Curso de Perito Informático y Análisis Forense en Windows: 150 horas y certificado verificable.