🔎 Reconstrucción forense de una intrusión en Windows: acceso remoto, exfiltración de datos y eliminación de evidencias Las herramientas de acceso remoto forman parte esencial de la administración de sistemas. Soluciones como TeamViewer permiten gestionar equipos a distancia para tareas de soporte y mantenimiento. Sin embargo, si un atacante obtiene acceso —por credenciales comprometidas o configuraciones inseguras— puede interactuar con el sistema sin desplegar malware. Este abuso encaja dentro de las técnicas Living-off-the-Land (LotL). En el escenario analizado, un empleado reportó actividad sospechosa: aplicaciones abriéndose automáticamente y movimiento del cursor sin interacción. La investigación reveló que el sistema estaba siendo controlado remotamente mediante TeamViewer. El análisis forense buscó determinar quién accedió al sistema, cuándo ocurrió la intrusión y qué acciones realizó el atacante. Mediante el análisis de logs de TeamViewer, historial de PowerShell y artefactos NTFS, fue posible reconstruir la actividad completa. Los registros mostraron conexiones remotas entrantes que confirmaban acceso interactivo al sistema durante varios minutos. Durante la sesión, el atacante comprimió archivos de un directorio con información confidencial y posteriormente los transfirió a infraestructura externa, confirmando la exfiltración de datos. El análisis del USN Journal de NTFS permitió reconstruir la actividad sobre el sistema de archivos y evidenció que varios documentos sensibles fueron eliminados tras la exfiltración, probablemente para reducir rastros de la intrusión. Cadena de ataque inferida: • Acceso remoto mediante TeamViewer • Sesión interactiva en el sistema • Compresión de archivos confidenciales • Exfiltración de datos • Eliminación de evidencias Este caso demuestra cómo el abuso de herramientas legítimas de administración remota puede permitir comprometer un sistema sin malware, y cómo la correlación de artefactos forenses permite reconstruir con precisión la actividad del adversario. • Artículo completo en el primer comentario #DFIR #DigitalForensics #CyberSecurity #IncidentResponse #WindowsForensics #ThreatHunting #ThreatIntelligence #BlueTeam #SOC #SOCAnalyst #ThreatDetection #CyberDefense #SecurityOperations #ForensicAnalysis #DFIRCommunity #Infosec #CyberThreats #LogAnalysis #ThreatInvestigation #SecurityMonitoring #MalwareAnalysis #LivingOffTheLand #TeamViewer #WindowsSecurity #ThreatAnalysis #CyberIncident