Autoruns: dónde se esconde la persistencia · Sysinternals para el defensor

Un atacante quiere seguir dentro después del próximo reinicio, así que deja algo que se ejecute solo al arrancar o al iniciar sesión: persistencia. Windows tiene decenas de lugares donde se puede esconder, y Autoruns los revisa todos de una vez.

Ficha de Autoruns

Nombre: automatic runs, "ejecuciones automáticas". Autoruns64.exe es la versión gráfica y autorunsc64.exe la de consola (la c es de console).
Qué hace: lista todo lo que Windows arranca solo (claves del registro, tareas, servicios, controladores, WMI) con su firma y su ruta.

autorunsc64.exe [-accepteula] [-nobanner] [-a CATEGORIAS] [-c] [-h] [-s] [-m] [USUARIO]

Opción	Qué hace	Ejemplo
`-a CATEGORIAS`	Elige qué revisar: `l` inicio de sesión (por defecto), `s` servicios, `t` tareas, `m` WMI, `*` todo	`-a lst`
`-c`	Salida en CSV, lista para Excel o para comparar	`-c`
`-h`	Calcula los hashes de cada archivo	`-h`
`-s`	Verifica las firmas digitales	`-s`
`-m`	Oculta las entradas de Microsoft	`-m`
`USUARIO`	Revisa el perfil de un usuario; `*` revisa todos	`autorunsc64.exe -a l *`

-accepteula acepta la licencia sin ventana y -nobanner quita el encabezado, útil en scripts.

Abrir la versión gráfica bien

Ejecute Autoruns64.exe como administrador; sin privilegios no verá servicios ni tareas de otros usuarios. En Options active Hide Microsoft Entries y Hide Windows Entries, luego Scan Options > Verify code signatures, y pulse F5. La lista se reduce mucho: eso es lo que revisa.

Ese filtro tiene una trampa que verá en el laboratorio: oculta todo lo que apunta a un binario firmado por Microsoft, aunque la entrada la haya creado un atacante.

Las pestañas que más importan

Pestaña	Qué contiene
Logon	Claves `Run` y `RunOnce` del registro y la carpeta Inicio; lo más usado por malware sencillo
Scheduled Tasks	Tareas programadas, que pueden repetirse cada pocos minutos
Services	Servicios, que corren con privilegios altos
WMI	Suscripciones de eventos WMI, una persistencia menos conocida
Everything	Todo junto, para buscar con `Ctrl+F`

Cómo leer una entrada

Autorun Entry      Description   Publisher                 Image Path
HKCU\...\Run
  OneDrive         OneDrive      (Verified) Microsoft Corp  C:\Users\ana\AppData\Local\...\OneDrive.exe
  UpdateHelper                   (Not verified)            C:\Users\ana\AppData\Roaming\uh.exe
  Backup           Backup Tool   (Verified) Ejemplo S.A.   File not found: C:\Program Files\Backup\bk.exe

Las filas rosadas no tienen firma verificada o les falta descripción; las amarillas apuntan a un archivo que ya no existe. UpdateHelper reúne las señales clásicas: nombre genérico que suena a actualización, sin descripción, sin firma y en AppData\Roaming.

Desactivar antes que borrar

Ante algo sospechoso, desmarque la casilla en vez de borrar la entrada. Deja de ejecutarse, la evidencia queda y puede revertirlo si era el software de facturación de la contadora. Antes, use clic derecho > Jump to Entry para ver la clave o tarea original y anote la ruta completa.

Una línea base desde la consola

.\autorunsc64.exe -accepteula -nobanner -a * -c -h -s -m | Out-File .\autoruns-base.csv -Encoding utf8

Out-File guarda en un archivo lo que recibe por el pipe. Con esta foto podrá comparar después y ver qué apareció.

Errores frecuentes

autorunsc64.exe : The term 'autorunsc64.exe' is not recognized as the name of a cmdlet, function, script file, or operable program.

PowerShell no ejecuta programas de la carpeta actual solo por su nombre. Escriba .\autorunsc64.exe o la ruta completa. Si en un script la ejecución se queda detenida, es la ventana de licencia esperando: agregue -accepteula.