Análisis Forense Correlacionado de Artefactos del Registro, LNK, Prefetch y AmCache para la Reconstrucción de Actividad del Usuario en Windows 11

Abstract

Windows 11 introdujo modificaciones estructurales en sus artefactos forenses (p. ej., Amcache v2, extensión de la nube integrada y nuevos esquemas de registro) que, sumados al empleo creciente de técnicas anti-forenses, han evidenciado una brecha en los métodos de reconstrucción de eventos basados en fuentes aisladas. El presente proyecto propone una metodología de correlación multi-fuente diseñada para validar la resistencia del análisis forense ante intentos de manipulación de evidencia digital. Se desarrolló un escenario de laboratorio controlado que simula actividad post-explotación (incluyendo ejecución de scripts, exfiltración mediante BITS y acceso remoto no autorizado), aplicando posteriormente contramedidas anti-forenses selectivas (limpieza de Prefetch, borrado de logs y time-stomping)...Windows 11 introduced structural modifications to its forensic artifacts (e.g., Amcache v2, integrated cloud extension, and new logging schemes) which, coupled with the increasing use of anti-forensic techniques, have revealed a gap in event reconstruction methods based on isolated sources. This project proposes a multi-source correlation methodology designed to validate the resilience of forensic analysis against attempts to manipulate digital evidence. A controlled laboratory scenario was developed simulating post-exploitation activity (including script execution, exfiltration via BITS, and unauthorized remote Access) followed by the application of selective anti-forensic countermeasures (prefetch cleanup, log deletion, and time-stomping)...