28. Extracción de Información del archivo SAM con Registry View

 

 Extracción de Información del archivo SAM con Registry View

📹 Miniatura de la clase
0:18 / 4:40

Procedimiento Práctico

Para esta práctica debemos contar con el archivo XAMPP, el cual ya lo tenemos y además de ello vamos a utilizar la herramienta de Registry View.

Paso 1: Cargar el Archivo

Con esto ya a la mano nos vamos a:

• File → Open

• Procedemos a localizar el archivo XAMPP

• En mi caso lo tenía en respaldos

• Presionamos en Abrir

✅ Listo. Ya se nos ha cargado.

Paso 2: Explorar la Estructura SAM

Vamos a desplegar la carpeta:

• Sam → Dominios → Cuentas

👥 Aquí encontramos los usuarios y algo interesante:

Identificadores de usuario:

• Usuario administrador: ID 500

• Usuario estándar: ID 501

• Default account: ID 503

• Otros: ID 504

• Mi usuario (Miguel): ID 1001

Paso 3: Analizar Información de Usuarios

Usuario Miguel (ID 1001):

• Número de logins: 662 veces

• Tiempo de expiración: Nunca

• Cuenta deshabilitada: False

• Requiere contraseña: False

Usuario Administrador (ID 500):

• Número de logins: 10 veces

• Hora del último inicio de sesión

• Hora del último cambio de contraseña (nunca cambiado)

Caso Práctico Forense

🔍 ¿Cuál es el punto de todo esto?

Supongamos que alguien borró algo importante del equipo. Puedo navegar por los diferentes usuarios y verificar los últimos inicios de sesión.

Ejemplo:

• Miguel inició sesión el 11/04 a las 20:58:29

• Es justo ese día donde algo pasó con el equipo

• Puedo determinar que Miguel accedió a este equipo

💡 Nota importante: El archivo XAMPP lo he extraído de otra computadora, demostrando cómo podemos analizar sistemas de forma remota.

Análisis Adicional: Dispositivos

Vamos a File → Open → Sistema

Podemos verificar:

• Dispositivos que han sido montados

• System Mounted Devices

• Volúmenes y unidades conectadas

• Disco duro interno (unidad C)

• Otras unidades externas

📌 Aplicación forense: Podría determinar si Miguel conectó dispositivos externos y realizó copias de archivos.

---

🎯 Hasta aquí esta clase. Nos vemos en la siguiente. ¡Hasta luego!