¿Qué hace Análisis de Archivos LNK de Windows para Artefactos?
Cuándo usar
- Al reconstruir el historial de acceso a archivos de usuario a partir de archivos de acceso directo de Windows.
- Para rastrear archivos abiertos, recursos compartidos de red y medios extraíbles.
- Durante investigaciones para demostrar que un usuario abrió documentos específicos.
- Al correlacionar el acceso a archivos con otros artefactos de la línea de tiempo.
- Para identificar rutas de acceso en sistemas remotos o dispositivos USB.
Requisitos previos
- Acceso a archivos LNK desde una imagen forense (Recientes, Escritorio, Inicio Rápido).
- LECmd (Eric Zimmerman), python-lnk o LnkParser para el análisis.
- Comprensión de la estructura del archivo LNK (formato Shell Link Binary).
- Conocimiento de las ubicaciones de archivos LNK en sistemas Windows.
- Estación de trabajo forense con herramientas de análisis instaladas.
Flujo de trabajo
Paso 1: Recolectar archivos LNK de la imagen forense
# Montar la imagen forense
mount -o ro,loop,offset=$((2048*512)) /casos/caso-2024-001/imagenes/evidence.dd /mnt/evidencia
mkdir -p /casos/caso-2024-001/lnk/{recientes,escritorio,inicio,personalizados}
# Copiar archivos LNK de Elementos recientes (fuente principal)
cp /mnt/evidencia/Users/*/AppData/Roaming/Microsoft/Windows/Recent/*.lnk \
/casos/caso-2024-001/lnk/recientes/ 2>/dev/null
# Copiar destinos automáticos (Jump Lists)
cp /mnt/evidencia/Users/*/AppData/Roaming/Microsoft/Windows/Recent/AutomaticDestinations/*.automaticDestinations-ms \
/casos/caso-2024-001/lnk/recientes/ 2>/dev/null
# Copiar destinos personalizados (elementos anclados de Jump List)
cp /mnt/evidencia/Users/*/AppData/Roaming/Microsoft/Windows/Recent/CustomDestinations/*.customDestinations-ms \
/casos/caso-2024-001/lnk/personalizados/ 2>/dev/null
# Copiar accesos directos del Escritorio
cp /mnt/evidencia/Users/*/Desktop/*.lnk /casos/caso-2024-001/lnk/escritorio/ 2>/dev/null
# Copiar accesos directos de la carpeta Inicio (persistencia)
cp /mnt/evidencia/Users/*/AppData/Roaming/Microsoft/Windows/Start\ Menu/Programs/Startup/*.lnk \
/casos/caso-2024-001/lnk/inicio/ 2>/dev/null
cp "/mnt/evidencia/ProgramData/Microsoft/Windows/Start Menu/Programs/Startup"/*.lnk \
/casos/caso-2024-001/lnk/inicio/ 2>/dev/null
# Encontrar todos los archivos LNK en el sistema
find /mnt/evidencia/ -name "*.lnk" -type f 2>/dev/null > /casos/caso-2024-001/lnk/todas_ubicaciones_lnk.txt
# Contar y calcular hash
ls /casos/caso-2024-001/lnk/recientes/ | wc -l
sha256sum /casos/caso-2024-001/lnk/recientes/*.lnk > /casos/caso-2024-001/lnk/hashes_lnk.txt 2>/dev/null
Paso 2: Analizar archivos LNK con LECmd
# Usando LECmd de Eric Zimmerman (Windows o mediante Mono)
# Procesar todos los archivos LNK en un directorio
LECmd.exe -d "C:\casos\lnk\recientes\" --csv "C:\casos\analisis\" --csvf analisis_lnk.csv
# Procesar un solo archivo LNK con salida detallada
LECmd.exe -f "C:\casos\lnk\recientes\documento.pdf.lnk"
# Procesar archivos Jump List
JLECmd.exe -d "C:\casos\lnk\recientes\" --csv "C:\casos\analisis\" --csvf analisis_jumplist.csv
# La salida incluye:
# - Ruta del archivo fuente
# - Ruta de destino (archivo que se abrió)
# - Marcas de tiempo de creación, modificación y acceso del destino
# - Marcas de tiempo de creación y modificación del LNK
# - Directorio de trabajo
# - Argumentos de línea de comandos
# - Número de serie y etiqueta del volumen
# - Tipo de unidad (Fija, Extraíble, Red)
# - ID de máquina (nombre NetBIOS)
# - Dirección MAC (de la base de datos de seguimiento)
# - Tamaño del archivo de destino
Paso 3: Analizar archivos LNK con Python
pip install LnkParse3
python3 << 'PYEOF'
import LnkParse3
import os, json, csv
from datetime import datetime
dir_lnk = '/casos/caso-2024-001/lnk/recientes/'
resultados = []
for nombre_archivo in sorted(os.listdir(dir_lnk)):
if not nombre_archivo.lower().endswith('.lnk'):
continue
ruta_completa = os.path.join(dir_lnk, nombre_archivo)
try:
with open(ruta_completa, 'rb') as f:
lnk = LnkParse3.lnk_file(f)
info = lnk.get_json()
analizado = {
'archivo_lnk': nombre_archivo,
'ruta_destino': '',
'directorio_trabajo': '',
'argumentos': '',
'creacion_destino': '',
'modificacion_destino': '',
'acceso_destino': '',
'tamano_archivo': '',
'tipo_unidad': '',
'serie_volumen': '',
'etiqueta_volumen': '',
'id_maquina': '',
'direccion_mac': '',
}
# Extraer marcas de tiempo del encabezado
encabezado = info.get('header', {})
analizado['creacion_destino'] = str(encabezado.get('creation_time', ''))
analizado['modificacion_destino'] = str(encabezado.get('modified_time', ''))
analizado['acceso_destino'] = str(encabezado.get('accessed_time', ''))
analizado['tamano_archivo'] = str(encabezado.get('file_size', ''))
# Extraer información del enlace
info_enlace = info.get('link_info', {})
if info_enlace:
ruta_local = info_enlace.get('local_base_path', '')
ruta_red = info_enlace.get('common_network_relative_link', {}).get('net_name', '')
analizado['ruta_destino'] = ruta_local or ruta_red
info_volumen = info_enlace.get('volume_id', {})
if info_volumen:
analizado['tipo_unidad'] = str(info_volumen.get('drive_type', ''))
analizado['serie_volumen'] = str(info_volumen.get('drive_serial_number', ''))
analizado['etiqueta_volumen'] = str(info_volumen.get('volume_label', ''))
# Extraer datos de cadena
datos_cadena = info.get('string_data', {})
analizado['directorio_trabajo'] = str(datos_cadena.get('working_dir', ''))
analizado['argumentos'] = str(datos_cadena.get('command_line_arguments', ''))
# Extraer datos de seguimiento (ID de máquina y MAC)
extra = info.get('extra', {})
tracker = extra.get('DISTRIBUTED_LINK_TRACKER_BLOCK', {})
if tracker:
analizado['id_maquina'] = str(tracker.get('machine_id', ''))
analizado['direccion_mac'] = str(tracker.get('mac_address', ''))
resultados.append(analizado)
# Imprimir resumen
print(f"\n{nombre_archivo}")
print(f" Destino: {analizado['ruta_destino']}")
print(f" Modificado: {analizado['modificacion_destino']}")
print(f" Unidad: {analizado['tipo_unidad']} (Serie: {analizado['serie_volumen']})")
if analizado['id_maquina']:
print(f" Máquina: {analizado['id_maquina']}")
except Exception as e:
print(f" Error al analizar {nombre_archivo}: {e}")
# Escribir resultados a CSV
with open('/casos/caso-2024-001/analisis/analisis_lnk.csv', 'w', newline='') as f:
writer = csv.DictWriter(f, fieldnames=resultados[0].keys() if resultados else [])
writer.writeheader()
writer.writerows(resultados)
print(f"\n\nTotal de archivos LNK analizados: {len(resultados)}")
PYEOF
Paso 4: Analizar para valor investigativo
# Identificar archivos accedidos desde medios extraíbles
python3 << 'PYEOF'
import csv
with open('/casos/caso-2024-001/analisis/analisis_lnk.csv') as f:
reader = csv.DictReader(f)
print("=== ARCHIVOS ACCEDIDOS DESDE MEDIOS EXTRAÍBLES ===\n")
extraibles = []
red = []
for fila in reader:
if 'DRIVE_REMOVABLE' in fila.get('tipo_unidad', '').upper() or \
'removable' in fila.get('tipo_unidad', '').lower():
extraibles.append(fila)
print(f" {fila['modificacion_destino']} | {fila['ruta_destino']} | Vol: {fila['serie_volumen']}")
if 'network' in fila.get('tipo_unidad', '').lower() or \
fila.get('ruta_destino', '').startswith('\\\\'):
red.append(fila)
print(f"\n=== ARCHIVOS ACCEDIDOS DESDE RECURSOS COMPARTIDOS DE RED ===\n")
for fila in red:
print(f" {fila['modificacion_destino']} | {fila['ruta_destino']}")
print(f"\nArchivos en medios extraíbles: {len(extraibles)}")
print(f"Archivos en recursos compartidos de red: {len(red)}")
# Verificar máquinas únicas (datos de seguimiento)
maquinas = set()
for fila in [*extraibles, *red]:
if fila.get('id_maquina'):
maquinas.add(fila['id_maquina'])
if maquinas:
print(f"\nIDs de máquina encontrados: {maquinas}")
PYEOF
# Verificar archivos LNK de la carpeta Inicio para persistencia
echo "=== ACCESOS DIRECTOS DE LA CARPETA INICIO (PERSISTENCIA) ===" > /casos/caso-2024-001/analisis/persistencia_inicio.txt
for lnk in /casos/caso-2024-001/lnk/inicio/*.lnk; do
python3 -c "
import LnkParse3
with open('$lnk', 'rb') as f:
lnk = LnkParse3.lnk_file(f)
info = lnk.get_json()
destino = info.get('link_info', {}).get('local_base_path', 'Desconocido')
args = info.get('string_data', {}).get('command_line_arguments', '')
print(f' $(basename $lnk): {destino} {args}')
" >> /casos/caso-2024-001/analisis/persistencia_inicio.txt 2>/dev/null
done
Conceptos clave
| Concepto | Descripción |
|---|---|
| Shell Link (.lnk) | Formato de archivo de acceso directo de Windows que contiene ruta de destino, marcas de tiempo y metadatos |
| Marcas de tiempo del destino | Tiempos de creación, modificación y acceso del archivo al que apunta el acceso directo |
| Número de serie del volumen | Identificador único del volumen de la unidad donde reside el archivo de destino |
| ID de máquina | Nombre NetBIOS incrustado por el servicio de Seguimiento de vínculos distribuidos |
| Dirección MAC | MAC del adaptador de red de la máquina que creó el archivo LNK |
| Jump Lists | Listas de archivos recientes y anclados por aplicación (contienen datos LNK incrustados) |
| Destinos automáticos | Entradas de Jump List gestionadas por el sistema para archivos abiertos recientemente |
| Destinos personalizados | Elementos de Jump List anclados por el usuario que persisten hasta que se eliminan manualmente |
Herramientas y sistemas
| Herramienta | Propósito |
|---|---|
| LECmd | Analizador de archivos LNK de línea de comandos de Eric Zimmerman con salida CSV/JSON |
| JLECmd | Analizador de Jump Lists de Eric Zimmerman |
| LnkParse3 | Biblioteca de Python para análisis programático de archivos LNK |
| lnk_parser | Herramienta alternativa de análisis de LNK en Python |
| Autopsy | Plataforma forense con módulo de análisis de archivos LNK |
| KAPE | Recolección automatizada de artefactos LNK y Jump List |
| Plaso | Herramienta de línea de tiempo con analizador LNK para creación de superlíneas de tiempo |
| LNK Explorer | Herramienta GUI para examen interactivo de archivos LNK |
Escenarios comunes
Escenario 1: Exfiltración de datos mediante unidad USB Analizar archivos LNK de la carpeta Recientes en busca de destinos en unidades extraíbles, correlacionar números de serie de volumen con entradas de registro USBSTOR, construir una lista de archivos accedidos desde dispositivos USB, establecer qué documentos se abrieron desde la unidad extraíble, correlacionar con marcas de tiempo de copia de archivos.
Escenario 2: Persistencia de malware mediante accesos directos de Inicio Examinar archivos LNK de la carpeta Inicio en busca de destinos maliciosos, verificar la ruta de destino y argumentos en busca de comandos codificados o ejecutables sospechosos, verificar que el archivo de destino existe y examinarlo, correlacionar la marca de tiempo de creación con el momento del compromiso inicial.
Escenario 3: Investigación de acceso a recursos compartidos de red Filtrar archivos LNK con rutas de red (destinos UNC), identificar qué recursos compartidos de red se accedieron y cuándo, correlacionar IDs de máquina con sistemas corporativos conocidos, verificar si se accedió a servidores de archivos sensibles fuera de las funciones normales, construir una línea de tiempo de acceso para una investigación de cumplimiento.
Escenario 4: Línea de tiempo de acceso a documentos para procedimientos legales Extraer todos los archivos LNK de la carpeta Recientes, construir una lista cronológica de documentos accedidos por el usuario, identificar archivos específicos relevantes para el caso, presentar marcas de tiempo de destino que muestren cuándo se abrieron los archivos, correlacionar con líneas de tiempo de correo electrónico y comunicación.
Formato de salida
Resumen del análisis de archivos LNK:
Perfil de usuario: usuario_sospechoso
Total de archivos LNK: 234 (Recientes: 198, Escritorio: 23, Inicio: 5, Otros: 8)
Estadísticas de acceso a archivos:
Unidad local (C:): 156 archivos
Medios extraíbles: 23 archivos (3 números de serie de volumen únicos)
Recursos compartidos de red: 15 archivos (\\servidor01, \\servidorarchivos)
Otras unidades: 4 archivos
IDs de máquina encontrados: DESKTOP-ABC123, LAPTOP-XYZ789
Direcciones MAC: AA:BB:CC:DD:EE:FF, 11:22:33:44:55:66
Acceso a medios extraíbles:
Volumen Serial 1234-ABCD:
2024-01-15 14:32 - E:\Confidencial\informe_financiero.xlsx
2024-01-15 14:45 - E:\Confidencial\base_datos_clientes.csv
2024-01-15 15:00 - E:\Proyectos\codigo_fuente.zip
Persistencia en Inicio:
actualizador.lnk -> C:\ProgramData\svc\actualizador.exe (SOSPECHOSO)
OneDrive.lnk -> C:\Users\...\OneDrive.exe (Legítimo)
Línea de tiempo: /casos/caso-2024-001/analisis/analisis_lnk.csv