Persistencia avanzada en Windows: anatomía de un ecosistema que no está diseñado para olvidar

La persistencia es el verdadero punto de inflexión en la ciberseguridad moderna. No es una técnica, ni un artefacto, ni una etapa más del ATT&CK. Es una filosofía operacional. Un adversario que persiste es un adversario que existe más allá del incidente, más allá de la remediación, más allá de la limpieza, más allá del esfuerzo del defensor. Y en Windows —un sistema operativo construido a lo largo de décadas, ensamblado por capas, coexistencias y compatibilidades hacia atrás— persistir es encontrar una sinfonía de lugares donde integrarse sin que nadie note el cambio de ritmo.

En los últimos años, los ataques atribuidos a grupos como Volt Typhoon, Sandworm y APT29 han demostrado que la persistencia ya no es solo un mecanismo de supervivencia. Es un método para ocupar ecosistemas enteros. La idea no es esconder artefactos maliciosos, sino insertar continuidad dentro del orden natural del sistema operativo. No obligar a Windows a comportarse diferente, sino extender lo que ya hace. No disfrazarse de malware, sino mimetizarse con procesos, políticas, servicios y decisiones administrativas que ya existen.

Windows tiene memoria, y tiene demasiada. Y esa memoria puede ser corrompida para convertirse en vehículo. El sistema no está diseñado para “volver a cero” fácilmente, porque ese cero nunca existió; Windows es acumulación, herencia, coherencia y estado. Persistir en él es persistir en su historia interna.

La pregunta que deben hacerse los equipos defensivos ya no es “¿cómo entraron?”, sino “¿dónde están viviendo ahora?”.

La narrativa interna del sistema: un terreno donde todo tiene sentido

Persistir en Windows implica ver el sistema operativo como algo más que un conjunto de artefactos técnicos. Es comprender que Windows funciona como un organismo narrativo, donde cada componente explica, interpreta y valida a los demás. Los atacantes que dominan este terreno no manipulan el sistema: manipulan su narrativa interna.

El registro de Windows es uno de los árboles de decisión más complejos del software moderno. Servicios como Winlogon, LSA, SCM y las decenas de subsistemas internos actúan como órganos autónomos que toman decisiones basadas en rutas, claves, DLL, proveedores, clases COM o suscripciones WMI. Cuando un atacante altera cualquiera de estas piezas, no está introduciendo anomalía: está reescribiendo contexto.

Técnicas como IFEO (Image File Execution Options), AppInit_DLLs, Winlogon Notify, COM hijacking, ShellExecute hooks o manipulaciones de Service DLL Redirect se sostienen no solo porque son potentes, sino porque Windows espera que existan. Son parte del lenguaje natural del sistema. Y ese lenguaje puede ser intervenido sin ruido.

Cuando el analista busca persistencia, suele buscar objetos. Busca archivos, procesos, claves, tareas. Pero la persistencia moderna vive en algo más sutil: flujo, relación, esperanza. Vive en cómo Windows cree que debe funcionar. Los operadores avanzados ya no alteran el sistema operativo: alteran su autopercepción.

La fábrica de usuarios envenenada: persistencia generativa en Profile Skeleton

Pocas técnicas son tan elegantes como destructivas: el envenenamiento del Profile Skeleton, el directorio Default desde el cual Windows fabrica cualquier nuevo perfil local. Este vector crea una forma de persistencia que no depende de un usuario, ni de una sesión, ni de credenciales. Depende de una plantilla universal.

Modificar el Profile Skeleton permite que cualquier usuario nuevo que inicie sesión —sea local, remoto, corporativo, temporal, administrativo o estándar— reciba instantáneamente un perfil contaminado. La alteración puede ser casi imperceptible: un acceso directo modificado para iniciar un binario alternativo, una DLL silenciosa ubicada en AppData, un script .ps1 que se ejecuta desde Startup, una clave en NTUSER.DAT filtrando actividad.

Lo relevante no es su sofisticación, sino su inevitabilidad. El sistema generará persistencia por sí solo. Cada usuario nuevo será una semilla de ocupación. No porque el atacante esté presente, sino porque el sistema está corrompido en su raíz reproductiva.

Ese fue uno de los métodos usados por operadores relacionados con APT29 en campañas descubiertas entre 2021 y 2023, donde los perfiles nuevos se convertían automáticamente en endpoints útiles incluso cuando el SOC creía haber “revocado acceso”.

Esta técnica convierte la persistencia en herencia. Y Windows es muy bueno heredando.

El dominio como multiplicador: SYSVOL, GPP y NETLOGON como vectores de ocupación

Cuando un adversario compromete un dominio, no compromete máquinas: compromete coherencias. Y en Windows, la coherencia del dominio vive en tres pilares que siguen siendo fundamentales para operaciones avanzadas: SYSVOL, GPP (Group Policy Preferences) y NETLOGON.

SYSVOL es el corazón distribuido del dominio. Aquí viven scripts, directivas, plantillas y artefactos que se replican automáticamente entre controladores y bajan a cada endpoint por política. Insertar un script en SYSVOL no es infectar una máquina: es infectar a todo el ecosistema de máquinas que “confían” en su dominio. Un controlador de dominio actúa como un sol central; cada endpoint es un planeta; SYSVOL es la radiación que viaja desde el sol a cada órbita. Un script malicioso ahí se propaga como luz: inevitable, silencioso, aceptado.

GPP aporta un segundo vector: la autoridad administrativa encapsulada en XML. Aquí se pueden distribuir tareas, reglas de firewall, servicios y configuraciones globales. Muchos de los ataques que explotaron credenciales almacenadas en GPP hace una década dejaron lección: lo peligroso no era la contraseña expuesta, sino la centralización del comportamiento.

NETLOGON, aunque relegado, sigue vivo en entornos híbridos y heredados. Los scripts ahí ubicados se ejecutan en cada logon de usuario. Por diseño. Por tradición. Por compatibilidad. Un lugar perfecto para evadir defensas modernas.

Estos vectores no son persistencia en una máquina. Son persistencia como arquitectura.

La persistencia estética: alterar la identidad visual para dominar la identidad técnica

Hay vectores que combinan estética, replicación y control: la persistencia basada en recursos visuales distribuidos por GPO, como wallpapers, lock screens, banners de logon, backgrounds corporativos y elementos gráficos que Windows descarga automáticamente.

Cuando un adversario modifica estos recursos, puede convertirlos en marcadores esteganográficos para comunicarse con otros componentes, indicadores de control para validar presencia, puntos de sincronización para procesos residentes, o artefactos que sobreviven reinstalaciones superficiales.

Un wallpaper distribuido por GPO es descargado miles de veces, almacenado localmente, refrescado con frecuencia y jamás analizado por EDR. No porque los EDR fallen, sino porque no están diseñados para analizar imágenes corporativas. Y sin embargo, estas imágenes pueden contener patrones invisibles que instructores maliciosos interpretan como señales.

Algunos incidentes en empresas de telecomunicaciones europeas entre 2023 y 2024 revelaron justo eso: una imagen aparentemente inocente controlaba la persistencia de procesos residentes que jamás tocaban disco.

La estética puede ser persistencia. Y Windows cree en lo que ve.

WMI y COM: persistencia que vive en la lógica, no en el disco

La persistencia más difícil de identificar es aquella que no deja artefactos tradicionales. Y en Windows, dos ecosistemas permiten esta forma de existencia: WMI (Windows Management Instrumentation) y COM (Component Object Model).

WMI permite crear suscripciones permanentes que se activan por condiciones altamente específicas: creación de procesos, cambios de red, tiempos exactos, aparición de archivos o señales internas del sistema. Estas suscripciones viven en el CIM Repository, un archivo binario opaco que no se navega con herramientas estándar. Investigar WMI no es buscar archivos. No es buscar procesos. Es forensear un repositorio semiestructurado que nunca fue diseñado para auditoría defensiva. Es literalmente leer la mente del sistema operativo.

COM ofrece un paralelo igualmente complejo. Un atacante puede registrar un servidor COM alternativo, manipular CLSIDs, alterar rutas de carga o reemplazar proveedores. Esto permite redirigir ejecución legítima hacia componentes controlados sin que Windows lo considere extraño.

Estas técnicas funcionan no porque sean invisibles, sino porque están profundamente integradas en cómo Windows existe.

Persistencia cognitiva, identitaria y los nuevos modelos no documentados

Estamos entrando en una nueva era: la persistencia no documentada. Persistencia que no depende de archivos, ni de procesos, ni de claves, ni de scripts. Persistencia que vive en propiedades emergentes del sistema operativo.

La persistencia cognitiva describe a adversarios que entrenan los modelos heurísticos del EDR para normalizar comportamientos maliciosos: un implante que genera falsos positivos durante meses hasta que un analista crea una exclusión “para reducir ruido”. Ese día, el implante se vuelve invisible.

La persistencia identitaria se apoya en técnicas como Shadow Credentials y manipulación de claves PKINIT, que permiten generar tickets Kerberos válidos sin credenciales. El endpoint ya no importa: la identidad está tomada.

La persistencia por resonancia describe pequeños artefactos residuales en servicios sincronizados entre endpoints que se convierten en repetidores involuntarios de estado malicioso. Y la persistencia por ensamblaje distribuido plantea una carga que no existe como objeto: existe como piezas diseminadas en cacheos, logs, WMI, políticas, claves temporales y módulos que se ensamblan solo en ejecución.

Estas técnicas no aparecen en reportes, porque aún se están gestando. Pero todas siguen un patrón: no viven en un lugar; viven en la coherencia del sistema.

Cuando la persistencia se convierte en ecosistema

El error fundamental de la industria es pensar en persistencia como un “rastro técnico”. Pero el análisis riguroso de incidentes avanzados demuestra lo contrario: la persistencia no es un rastro. Es un ecosistema coherente. Un sistema de relaciones que se amplifica a sí mismo, replicándose a través de políticas, identidades, perfiles, sincronizaciones, expectativas y herencias.

La persistencia avanzada no vive en un archivo. Vive en cómo el sistema cree que funciona.

Y aquí aparece la parte más incómoda: una organización no elimina persistencia reinstalando máquinas, reseteando contraseñas o sacando malware. Eso solo elimina el ruido. No elimina la narrativa.

La única defensa efectiva contra este tipo de adversarios no es tecnológica: es epistemológica.

La organización debe reescribir su coherencia interna. Debe observar su entorno como un organismo, no como una colección de eventos. Debe cazar anomalías narrativas, no indicadores. Debe asumir que el sistema es permeable, y por tanto vivir en monitoreo continuo basado en comportamiento, no en firmas.

Un atacante que domina persistencia domina el relato. Un defensor que quiere ganar debe dominar la coherencia.

Ahí se juega el futuro.