Cada herramienta, en detalle.

Analiza 27 familias de arranque automático de Windows, entre ellas claves Run del registro, servicios y controladores, ServiceDll, tareas programadas, Winlogon, AppInit, IFEO/SilentProcessExit, suscripciones WMI, carpetas de inicio, paquetes LSA, monitores y proveedores de impresión, proveedores de credenciales, objetos BHO, valores Load/Run de Windows, secuestros COM, salvapantallas e inyección del generador de perfiles de .NET. Cada imagen se verifica con Authenticode, con enriquecimiento opcional de VirusTotal. También lee la línea de comandos, no solo el archivo: un intérprete de Windows firmado — rundll32, mshta, regsvr32, powershell — apuntado a una ubicación remota, una ruta de usuario, un script codificado o un scriptlet se marca aunque el ejecutable se verifique perfectamente, y las tareas programadas exponen sus argumentos, así que la DLL o el script que realmente se carga queda a la vista.

ACCIÓN → Inspeccionar los detalles, revelar la ubicación validada del archivo o abrir las aplicaciones de inicio de Windows.

LÍMITES → Un resultado notable es una señal para investigar, no una prueba de malware. La comprobación de la línea de comandos lee lo que está escrito. Una carga construida en tiempo de ejecución, o que no sea remota, de usuario ni codificada, queda fuera de su alcance. Las v0.12.0 y v0.13.0 no reconocían los intérpretes auténticos de Windows: su nombre compilado se leía del archivo de idioma (.MUI). La v0.14.0 lo corrige.

Bloqueo/permiso por aplicación aplicado mediante la Plataforma de filtrado de Windows (WFP) por un servicio LocalSystem opcional. Arranca en modo solo auditoría; un operador elevado activa la aplicación mediante el flujo IPC autenticado del panel. La intención deseada y el estado efectivo en ejecución se informan siempre por separado.

ACCIÓN → Definir las políticas y habilitar la aplicación únicamente desde el panel: los alias de mutación directa están desactivados por diseño.

LÍMITES → El servicio no lo instala el instalador. Instalarlo es una decisión explícita y elevada, y requiere WinSight instalado para todos los usuarios: el servicio se niega a ejecutarse desde una carpeta que el usuario puede modificar, como la instalación por usuario predeterminada. Sin avisos interactivos por conexión; la política se define por aplicación.

Una ventana de decisión en cuanto aparece un nuevo elemento de inicio: permitir lo silencia, bloquear lo retira a una cuarentena restaurable y «decidir más tarde» lo deja pendiente de revisión. Lo que cambió mientras WinSight no se ejecutaba se concilia en el siguiente arranque.

ACCIÓN → Revisar el nuevo elemento, su veredicto de firma y quién lo escribió.

LÍMITES → Actúa una vez que el elemento ha aparecido; impedir la propia escritura exigiría un controlador de núcleo firmado, que no se distribuye. El bloqueo cubre los valores Run/RunOnce y los archivos de inicio del usuario actual; los elementos de toda la máquina se pueden permitir, pero aún no bloquear.

Archivos señuelo visibles y distintos en cada equipo, más heurísticas de ráfagas de renombrado/borrado y de entropía en escritura. Es la única función que escribe algo (sus señuelos, en tus carpetas Documentos, Escritorio, Imágenes, Descargas, Vídeos y Música), y por eso permanece desactivada hasta que la enciendes. Apagarla, o desinstalar, elimina los señuelos que puede demostrar que son suyos y siguen intactos. La comprobación de integridad también informa de si el bloqueador de núcleo de Windows, el acceso controlado a carpetas de Microsoft Defender, está realmente activado.

ACCIÓN → Investigar el proceso señalado; la atribución de escritura lo nombra al ejecutarse elevado. Si el acceso controlado a carpetas está desactivado, WinSight te enlaza a la página de Seguridad de Windows donde se activa.

LÍMITES → Detección, no interceptación, alerta sobre actividad sospechosa pero no bloquea escrituras; bloquear una escritura en plena cifrado exige un minifiltro de núcleo firmado que WinSight no distribuye. Lee e informa de la postura del acceso controlado a carpetas, pero nunca lo activa, lo desactiva ni lo configura. Eso lo cambia el operador en Windows.

Uso actual e histórico de la cámara y el micrófono, leído del almacén de consentimiento que mantiene Windows, por aplicación, con cada aplicación de escritorio asociada a su proceso en ejecución cuando es posible, más las transiciones en directo por línea de comandos con av --watch.

ACCIÓN → Identificar la aplicación y abrir la configuración de privacidad de Windows.

LÍMITES → Lee los registros del almacén de consentimiento que mantiene Windows; un acceso que elude el intermediario de funcionalidades de Windows, como una captura DirectShow heredada o un controlador, no deja registro y no se ve.

Conexiones TCP y UDP en IPv4/IPv6 con el proceso propietario, su imagen y su firma; registros DNS de la caché del resolutor y consultas ETW en directo reservadas a administradores. Las conexiones externas establecidas cuyo propietario está sin firmar, no es de confianza o solo lo es gracias a un certificado raíz instalado por este usuario son notables.

ACCIÓN → Inspeccionar el ejecutable, correlacionar dominios con la actividad o abrir el Monitor de recursos.

LÍMITES → Los datos de la caché DNS son visibilidad histórica y por sí solos no atribuyen cada consulta a un proceso; el ETW de DNS en directo exige elevación. Sin inspección de paquetes ni gráficas de volumen de tráfico.

Veredictos Authenticode, de catálogo y de paquete MSIX verificado, usados de forma coherente por todas las demás herramientas, con un modelo de veredicto de seis estados que nunca fabrica un resultado «sin firmar» a partir de una comprobación no concluyente. Cualquier archivo se comprueba bajo demanda: «Comprobar la firma con WinSight», en el Explorador de archivos, abre una ventana con el veredicto, el firmante, las salvedades de confianza y los hashes MD5/SHA-1/SHA-256, y winsight sign <ruta> da lo mismo por línea de comandos.

ACCIÓN → Confía en los estados del veredicto: lo que se comprobó se declara siempre de forma explícita.

LÍMITES → Una firma válida prueba el origen, no la buena conducta. La revocación se comprueba solo en la caché local, porque la consulta opcional a VirusTotal es la única conexión saliente de WinSight: un certificado cuya revocación Windows nunca ha consultado se informa como de confianza, con el estado de revocación sin determinar.

Rutas de servicio sin comillas, directorios de servicio y entradas de PATH escribibles, e importaciones DLL fantasma, cada uno graduado según si es realmente explotable en este equipo. No escribe nada: la propia comprobación de acceso de Windows indica si el usuario sin elevar podría crear un archivo allí.

ACCIÓN → Corrige primero los hallazgos explotables; la graduación te dice cuáles importan.

LÍMITES → Gradúa la explotabilidad según las ACL actuales del equipo analizado; los resultados difieren entre equipos. Ejecutado como SYSTEM o con el UAC desactivado, donde no existe un token sin elevar, lee en su lugar las ACL de los grupos sin privilegios conocidos, sin ver un permiso concedido a un único usuario, y el informe lo indica.