El Registro de Windows es una base de datos jerárquica en la que Windows y las aplicaciones guardan la configuración del sistema, el hardware, el software y las cuentas de usuario.
Cómo funciona el Registro de Windows
El registro se organiza en claves y valores, de forma parecida a carpetas y archivos. Entre sus claves raíz principales están HKEY_LOCAL_MACHINE (HKLM), para la configuración de todo el sistema, y HKEY_CURRENT_USER (HKCU), para el usuario que ha iniciado sesión. En disco, los datos se guardan en archivos de subárbol (hives): SAM, SYSTEM, SOFTWARE y SECURITY en %SystemRoot%\System32\config, y NTUSER.DAT en cada perfil de usuario. Se edita con regedit, el comando reg o PowerShell.
Por qué el registro importa para la seguridad
Como el registro determina qué inicia Windows y cómo se comporta, los atacantes abusan de él constantemente:
- Persistencia: añadir entradas a las claves Run y RunOnce o registrar servicios hace que el malware arranque en cada inicio (MITRE ATT&CK T1547.001). Es una de las formas más comunes de persistencia.
- Almacenamiento sin archivos: familias como Poweliks y Kovter ocultaban su código en valores del registro en lugar de en archivos, una técnica clásica del malware sin archivos.
- Debilitar las defensas: cambiar valores para desactivar Microsoft Defender, el Control de cuentas de usuario o los registros de eventos (T1112, Modify Registry).
- Robo de credenciales: guardar los subárboles SAM y SYSTEM (T1003.002) proporciona los hashes de las contraseñas locales para ataques pass-the-hash.
Para los investigadores, el registro es una rica fuente de artefactos forenses: programas ejecutados recientemente, dispositivos USB conectados y actividad del usuario.
Cómo proteger el registro
- Limitar los permisos de administrador para que los usuarios normales y el malware no puedan modificar HKLM.
- Vigilar las claves de inicio automático con Sysmon (eventos 12 a 14) o EDR, y revisarlas con herramientas como Autoruns.
- Activar la protección contra alteraciones para impedir que el malware cambie la configuración de seguridad.
