Process Explorer: el Administrador de tareas con lupa · Sysinternals para el defensor

Bienvenida

Bienvenido a Sysinternals para el defensor. Esta píldora es para quien empieza en un SOC, en soporte o en respuesta a incidentes y necesita ver lo que el Administrador de tareas no muestra. Conviene manejar Windows y PowerShell a nivel básico.

Son cuatro lecciones cortas, un laboratorio en su propia VM y un quiz de 4 preguntas, unos 55 minutos en total. Necesita una máquina virtual con Windows 10 u 11 y una cuenta de administrador. Prefiera Windows 11: Windows 10 dejó de recibir parches el 14 de octubre de 2025, salvo en equipos inscritos en el programa pagado de actualizaciones extendidas (ESU). Al terminar podrá leer el árbol de procesos con sus firmas, encontrar persistencia, asociar conexiones a procesos, filtrar actividad con Procmon e instalar Sysmon.

Qué es Sysinternals y por qué importa

Sysinternals es un conjunto gratuito de herramientas de Microsoft para mirar Windows por dentro. Empezó en 1996 como el sitio de Mark Russinovich y Bryce Cogswell, y Microsoft lo compró en 2006. Frente a un equipo sospechoso, un analista quiere saber quién lanzó cada proceso, con qué línea de comandos, si está firmado y con quién habla; el Administrador de tareas contesta poco de eso.

Descárguelas solo desde learn.microsoft.com/sysinternals (la suite completa viene en un ZIP) y descomprímalas en C:\Tools\Sysinternals. No se instalan, y casi todas traen versión de 64 bits con sufijo 64.

Ficha de Process Explorer

Nombre: procexp64.exe abrevia Process Explorer, "explorador de procesos".
Qué hace: muestra los procesos en árbol, con su padre, firma, ruta y lo que tienen abierto.

procexp64.exe [/e] [/t] [/s:PID]

Opción	Qué hace	Ejemplo
`/e`	Pide elevación y arranca como administrador	`procexp64.exe /e`
`/t`	Arranca minimizado en la bandeja del sistema	`procexp64.exe /t`
`/s:PID`	Abre con ese proceso ya seleccionado	`procexp64.exe /s:6612`

El árbol y sus colores

Cada proceso cuelga de su padre, y eso es lo primero que miro. Un powershell.exe hijo de WINWORD.EXE es una alarma: un documento de Word no tiene por qué abrir una consola, y así empiezan muchas infecciones por macro.

Colores: celeste para procesos de su usuario, rosado para servicios, morado para imágenes empaquetadas (frecuente en malware) y verde o rojo para los que nacen o terminan.

Tres ajustes que debe activar

Options > Verify Image Signatures: marca como "(No signature was found)" lo que no esté firmado.
View > Select Columns: agregue Command Line, Image Path y Verified Signer.
Options > VirusTotal.com > Check VirusTotal.com: envía solo el hash de cada ejecutable; en una empresa, pida permiso.

Process          PID   Verified Signer                    Image Path
svch0st.exe      6612  (No signature was found)           C:\Users\Public\svch0st.exe
svchost.exe      1084  (Verified) Microsoft Windows       C:\Windows\System32\svchost.exe

El primero tiene un cero en lugar de la "o", no está firmado y corre desde C:\Users\Public. Una señal sola no basta; tres juntas justifican abrir un caso.

Ver qué carga un proceso

Ctrl+L muestra el panel inferior: Ctrl+D lista las DLL cargadas y Ctrl+H los handles (archivos, claves de registro y otros objetos abiertos). Con doble clic sobre un proceso, la pestaña Image da ruta, padre y hora de inicio, y la pestaña TCP/IP sus conexiones.

Errores frecuentes

Error opening process: Access is denied.

Aparece al abrir las propiedades de un proceso de sistema sin privilegios. Cierre la herramienta y ábrala con /e o con clic derecho y "Ejecutar como administrador".

"Unknown" en la columna VirusTotal significa que nadie ha visto ese hash: no prueba nada, cruce el dato con la firma y la ruta.