Ejercicio guiado · Respuesta a incidentes
Hay malware en un equipo:
contenlo, erradícalo y recupéralo
contenlo, erradícalo y recupéralo
El Simulador de Incidentes y Malware te pone delante de un Windows comprometido: un troyano que se hace pasar por svchost.exe, un pre-ransomware que borra las copias, un minero, un ataque sin archivos, un volcado de credenciales… Investigas con las herramientas de siempre (procesos, autoarranque, servicios, eventos, copias y una terminal), contienes la amenaza, la erradicas, recuperas el sistema y marcas las evidencias. Al final, una auditoría puntúa tu respuesta sobre 100.
Qué vas a aprender
- Las fases de la respuesta a incidentes y por qué el orden importa.
- Reconocer un proceso malicioso por su ruta, su firma, su padre y su red.
- Encontrar y quitar la persistencia: claves Run/RunOnce, Winlogon, carpeta de inicio, tareas programadas y WMI.
- Reparar servicios con
sc.exey leer los eventos clave de Windows. - Recuperar el sistema desde una copia limpia cuando el atacante ha borrado las instantáneas.
💡 Todo es simuladoNo hay malware real: procesos, hashes, IP y eventos son ficticios. Nada sale de tu navegador.
Antes de empezar
🗺️ Mapa del simulador
| Zona | Qué hay |
|---|---|
| Barra superior | Consola Forense, Terminal CMD / PS, Catálogo y Generador (7), Manual Forense y Auditar y Evaluar Respuesta. |
| Cabecera del caso | Código, título, equipo y nivel; Cambiar / Generar Caso, Aislar Host de la Red, sfc /scannow, el modo (guiado o examen) y Reiniciar. Debajo, cuatro indicadores: CPU, amenazas en memoria, persistencias y servicios pendientes, y evidencias marcadas. |
| Pestañas | 1. Procesos y Red, 2. Registro e Inicio, 3. Servicios, 4. Visor de Eventos, 5. Restauración y VSS y 6. Terminal CLI. |
| Expediente | El aviso del usuario o del SIEM, los síntomas, los objetivos y la matriz MITRE ATT&CK (en modo guiado). |
| Bitácora de Respuesta en Vivo | Cada acción con su valoración: CORRECTO, ADVERTENCIA, ERROR FORENSE o INFO (en modo examen, solo REGISTRADO). |
Teoría — 01
🔄 El ciclo de respuesta
Las guías de respuesta a incidentes (como la del NIST) siguen siempre el mismo ciclo:
| Fase | Qué se hace | En el simulador |
|---|---|---|
| Detección y análisis | Confirmar que hay un incidente y entender qué ha pasado. | Procesos, registro, servicios, eventos, Threat Intel. |
| Contención | Que no vaya a más: cortar la comunicación con el atacante. | Aislar Host de la Red o ipconfig /release. |
| Erradicación | Eliminar la amenaza y sus mecanismos de persistencia. | Deshabilitar persistencias, terminar procesos, parar servicios intrusos. |
| Recuperación | Devolver el sistema a su estado normal. | Reparar servicios, restaurar una copia limpia. |
| Lecciones aprendidas | Documentar qué pasó y cómo evitarlo. | Marcar evidencias, auditoría e informe. |
Aislar antes de limpiar: mientras el equipo está conectado al servidor de mando y control (C2), el atacante puede reaccionar, cifrar más archivos o saltar a otros equipos.
Teoría — 02
🧬 Procesos sospechosos
| Pista | Normal | Sospechoso |
|---|---|---|
| Ruta | C:\Windows\System32\svchost.exe | C:\Users\Public\…\svchost.exe, AppData, Temp, ProgramData |
| Firma | Verificada (Microsoft o el editor) | Sin firma o certificado revocado |
| Proceso padre | svchost.exe cuelga de services.exe | svchost.exe hijo de explorer.exe; un hijo de spoolsv.exe |
| Red | Sin conexiones extrañas | Conexión a una IP externa por un puerto raro (4444, 3333, 8443) |
| Línea de comandos | Parámetros conocidos | --c2, stratum+tcp://, -enc, -w hidden |
- Suplantación (masquerading): el malware usa el nombre de un proceso de Windows (
svchost.exe) para pasar desapercibido. - LOLBins: programas legítimos y firmados de Windows usados para el ataque:
mshta.exe,powershell.exe -enc,rundll32.exe comsvcs.dll, MiniDump. La firma no basta: hay que mirar qué hacen. - Procesos críticos:
lsass.exe,csrss.exe,services.exe… Terminarlos provoca una pantalla azul. Nunca se tocan.
Teoría — 03
🪝 Persistencia
La persistencia es lo que hace que el malware vuelva a arrancar tras un reinicio o tras matarlo.
| Mecanismo | Dónde | MITRE |
|---|---|---|
| Claves Run / RunOnce | HKCU\…\CurrentVersion\Run, HKLM\…\Run, HKLM\…\RunOnce | T1547.001 |
| Carpeta de inicio | …\Start Menu\Programs\Startup | T1547.001 |
| Winlogon Userinit | HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon | T1547.004 |
| Tarea programada | Programador de tareas | T1053.005 |
| Suscripción WMI | root\subscription | T1546.003 |
| Servicio | Servicio instalado (evento 7045) | T1543.003 |
Primero la persistencia, después el proceso. Si terminas el proceso con su persistencia activa, vuelve a aparecer con otro PID. En el simulador lo verás en segundos; en un equipo real, en el siguiente inicio de sesión o en la siguiente ejecución de la tarea.
Y cuidado con las entradas legítimas: SecurityHealth o OneDrive también están en Run. Deshabilitarlas resta puntos.
Teoría — 04
⚙️ Servicios y eventos
Servicios con sc.exe
| Situación | Qué hacer |
|---|---|
| Servicio de seguridad deshabilitado (Defender, firewall, VSS) | sc config X start= auto y sc start X. Si solo lo arrancas: error 1058 (está deshabilitado). |
| Servicio colgado | Restart-Service X -Force. |
| Servicio intruso | sc stop X y sc config X start= disabled: si solo lo paras, vuelve con el siguiente arranque. |
Eventos clave
| ID | Canal | Qué indica |
|---|---|---|
| 4624 / 4625 | Security | Inicio de sesión correcto / fallido (LogonType 2 interactivo, 3 red, 10 RDP). Muchos 4625 seguidos: fuerza bruta. |
| 4688 | Security | Se ha creado un proceso, con su ruta. |
| 4104 | PowerShell/Operational | Bloque de script de PowerShell ejecutado (ve lo que estaba codificado). |
| 5001 | Windows Defender | Protección en tiempo real desactivada. |
| 7031 / 7034 | System | Un servicio terminó inesperadamente. |
| 7045 | System | Se instaló un servicio nuevo. |
| 10016 | System | Permisos DCOM: ruido habitual, no es evidencia. |
Teoría — 05
💾 Copias y puntuación
- Windows guarda instantáneas (VSS) y puntos de restauración. El ransomware las borra antes de cifrar:
vssadmin delete shadows /all /quiet(MITRE T1490). Una instantánea borrada no se puede recuperar. - Por eso existe la regla 3-2-1: 3 copias, en 2 soportes distintos, 1 fuera del equipo. Mejor si es inmutable (no se puede borrar durante unos días).
- Se restaura una copia anterior al incidente: una posterior conserva los cambios del atacante.
- Windows Server no tiene «Restaurar sistema»: usa Windows Server Backup (
wbadmin), que necesita el servicio VSS en marcha.
Cómo puntúa la auditoría
| Apartado | Puntos |
|---|---|
| Contención (aislar si hay C2) | 15 |
| Persistencias maliciosas deshabilitadas | 25 |
| Procesos maliciosos terminados | 25 |
| Servicios en su estado correcto | 20 |
| Evidencias clave marcadas | 10 |
| Restauración (si el caso la pide) | 5 |
Penalizaciones: −15 por cada proceso legítimo terminado, −10 por cada entrada legítima deshabilitada y −5 por cada evento de ruido marcado como evidencia.
Ejercicio — Fase 0 · 10 min · Guiado total
🧰 Preparación
0.1
Abre el simulador
Pulsa ▶ Abrir el simulador. Comprueba que estás en Modo guiado (con pistas).
Caso INC-2026-0142, Suplantación de Proceso (svchost.exe) y Persistencia en HKCU\Run, equipo WS-CONTABILIDAD-04, Nivel 1 · Inicial. Indicadores: Amenazas en Memoria 1 ▲ Activas, Persistencias / Servicios 3 ◆ Pendientes y Evidencias 0/2.
0.2
El manual
Abre Manual Forense y léelo por encima. Lo tendrás a mano en todos los casos.
Ejercicio — Fase 1 · 40 min · Guiado total
🦠 Caso 1: svchost falso
Lucía, del departamento financiero: el ventilador suena al máximo desde que abrió una factura adjunta, y el escudo de seguridad tiene una cruz roja.
1.1
Encuentra al intruso
En 1. Procesos y Red, mira los cinco procesos. Hay dos svchost.exe.
¿Cuál es el falso? Da cuatro motivos antes de seguir.
Ver respuesta
El PID 4892: está en
C:\Users\Public\Documents\Sync\ (no en System32), no tiene firma, su padre es explorer.exe (el legítimo cuelga de services.exe), consume un 38,6 % de CPU y tiene una conexión establecida con 185.220.101.44:4444.1.2
Inspecciónalo
Pulsa la fila del PID 4892 y después Analizar SHA-256 en Threat Intel.
Línea de comandos:
"C:\Users\Public\Documents\Sync\svchost.exe" --silent --c2 185.220.101.44:4444. Árbol: [explorer.exe (PPID 3104)] ──► [svchost.exe (PID 4892)]. Threat Intel: 61/72 motores lo detectan.1.3
El error clásico
Haz lo que haría un principiante: pulsa Finalizar PID en el 4892 y espera unos segundos mirando la bitácora.
Primero: ADVERTENCIA · taskkill /F /PID 4892 — Proceso terminado, pero la persistencia "WindowsHostSyncService" (HKCU\…\Run) sigue habilitada y lo volverá a lanzar. A los 2-3 segundos: ERROR FORENSE · svchost.exe vuelve a estar en ejecución, ahora con el PID 5916.
1.4
Contén
Pulsa Aislar Host de la Red.
El botón pasa a Red Aislada (Contención Activa) y la bitácora dice CORRECTO · Aislamiento de red activado en WS-CONTABILIDAD-04.
1.5
Quita la persistencia y después el proceso
En 2. Registro e Inicio hay tres entradas. Deshabilita solo la maliciosa. Vuelve a Procesos y finaliza el PID 5916.
WindowsHostSyncService (HKCU\…\Run, editor Desconocido (Sin firma)) → CORRECTO · Persistencia erradicada (T1547.001). Después, CORRECTO · Amenaza neutralizada en memoria: svchost.exe (PID 5916); ya no reaparece. Indicador: Amenazas en Memoria 0 ● Limpio.
¿Por qué no se deshabilitan SecurityHealth ni OneDrive?
Ver respuesta
Son legítimas y firmadas (el icono de Seguridad de Windows y el cliente de OneDrive). Deshabilitarlas restaría 10 puntos cada una y estropearía el equipo del usuario.
1.6
Repara los servicios
En 3. Servicios: pulsa primero Reiniciar en WinDefend, lee el resultado y después pulsa Habilitar e Iniciar. En Spooler, pulsa Reiniciar. EventLog está bien: no lo toques.
Reiniciar WinDefend: [SC] StartService ERROR 1058: el servicio WinDefend está deshabilitado. Cambia antes el tipo de inicio (sc config WinDefend start= auto). Habilitar e Iniciar: sc config WinDefend start= auto && sc start WinDefend, correcto. Spooler: reiniciado: vuelve a responder. Los tres, En ejecución (Automático).
1.7
Marca las evidencias
En 4. Visor de Eventos hay cuatro eventos. Marca primero el 4624 con Marcar IOC, lee la bitácora y desmárcalo. Después marca los dos que sí son evidencia.
4624: ADVERTENCIA · Nota: El evento 4624 es actividad normal o ruido benigno del sistema. Evidencias: 4688 (creación de
C:\Users\Public\Documents\Sync\svchost.exe) y 5001 (Defender desactivado). Indicador: Evidencias 2/2.1.8
Auditoría
Pulsa Auditar y Evaluar Respuesta.
100 / 100 pts · Incidente contenido y erradicado · contención correcta, persistencias 1/1, procesos 1/1, servicios 3/3 y evidencias 2/2. MITRE: T1036.005, T1547.001 y T1562.001. Puedes descargar el informe con Descargar Informe Forense (.txt).
El error del paso 1.3 no ha restado puntos. ¿Habría sido igual en un equipo real?
Ver respuesta
No del todo: mientras el proceso estuvo relanzado, el troyano siguió activo y conectado. La auditoría valora el estado final, pero en la realidad cada minuto cuenta. El orden correcto es aislar, quitar la persistencia y después terminar el proceso.
Ejercicio — Fase 2 · 40 min · Guiado
💻 Caso 2 por terminal
Pulsa Seguir Diagnosticando, después Cambiar / Generar Caso y carga el 02 · INC-2026-0289: un servidor de archivos con un pre-ransomware que ya ha borrado las instantáneas. Esta vez lo resuelves todo desde 6. Terminal CLI, salvo los eventos.
2.1
Reconocimiento
Ejecuta netstat -ano, sc query, vssadmin list shadows y wbadmin get versions.
netstat: 10.20.4.140:54110 → 91.215.85.19:8443 ESTABLECIDA 6120 lock_stage1.exe. sc query: WinStorgeCryptSvc en ejecución (binario C:\ProgramData\WinStorage\lock_stage1.exe --service), VSS detenido y deshabilitado, WinDefend colgado. vssadmin: Error: el servicio Instantáneas de volumen no está disponible (está deshabilitado). wbadmin: dos copias, una local de las 11:13:10 y otra en \\NAS-BACKUP (red) de las 02:00:00.2.2
Contén y quita la persistencia
Ejecuta, por orden:
ipconfig /releasereg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOncereg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v *StorageRecoveryInit /fschtasks /delete /tn \Microsoft\Windows\ShadowCopy\PurgeCheck /f
ipconfig: el equipo queda sin dirección IP y la bitácora registra el aislamiento. reg query muestra *StorageRecoveryInit → lock_stage1.exe --resume y la tarea PurgeCheck → bcdedit /set {default} recoveryenabled No. Las dos eliminaciones: CORRECTO · Persistencia deshabilitada.La respuesta de
schtasks /delete dice «se cambiaron los parámetros de la tarea», que es el mensaje de schtasks /change. La tarea sí queda deshabilitada.2.3
Procesos y servicios
Termina los dos procesos maliciosos (el 6120 y su hijo de PowerShell) y arregla los servicios. Prueba sc stop WinStorgeCryptSvc antes de deshabilitarlo, y sc start VSS antes de cambiar su tipo de inicio.
Ver comandos y respuestas
taskkill /F /PID 6120 y taskkill /F /PID 6488 → CORRECTO: se terminó el proceso…sc stop WinStorgeCryptSvc → detenido, pero sigue en inicio automático: volverá a arrancar con el sistema; sc config WinStorgeCryptSvc start= disabled → deshabilitado.sc start VSS → ERROR 1058; sc config VSS start= auto y sc start VSS → en ejecución.Restart-Service WinDefend -Force → vuelve a responder.
Calcula también el hash del malware: certutil -hashfile C:\ProgramData\WinStorage\lock_stage1.exe SHA256.
certutil da el hash, pero no dice si es malicioso: (Para saber si es conocido, consulta el hash en Threat Intel desde el inspector de procesos.)2.4
Restaura
Ejecuta vssadmin list shadows otra vez. Después ve a 5. Restauración y VSS y prueba Restaurar esta copia en la #88, luego en la #89 y por último en la #90.
vssadmin: No se encontraron elementos que cumplan la consulta. #88 (instantánea VSS): No se puede restaurar… vssadmin delete shadows la borró y una instantánea eliminada no se reconstruye. #89 (copia local de las 11:13): ERROR FORENSE · … posterior al inicio de la intrusión: conserva los cambios del atacante. #90 (NAS inmutable): CORRECTO · Restaurado «Copia nocturna en el NAS de copias…» … anterior al incidente.Si intentas restaurar la #90 con el servicio VSS todavía deshabilitado, la bitácora avisa: La restauración necesita el servicio Instantáneas de volumen (VSS) en marcha. Por eso había que arreglar VSS antes.
2.5
Evidencias y auditoría
Marca las dos evidencias del visor de eventos (no el 7036 de la hora) y audita.
Evidencias: 7045 (servicio
WinStorgeCryptSvc instalado) y 4104 (vssadmin.exe delete shadows /all /quiet). Auditoría: 100 / 100, MITRE T1490, T1543.003 y T1059.001.Ejercicio — Fase 3 · 30 min · Semiguiado
👻 Caso 4: sin archivos
Carga el 04 · INC-2026-0408: un servidor ERP con un ataque fileless, que vive en memoria y en el registro, y usa herramientas de Windows.
3.1
El PowerShell codificado
Pulsa el powershell.exe (PID 5640) y después Decodificar Base64.
Payload Desofuscado: IEX (New-Object Net.WebClient) […la línea de comandos está recortada; el resto aparece en el evento 4104]. Conexión a
194.36.191.77:443.¿Por qué el atacante usa mshta.exe y powershell.exe en vez de su propio programa?
Ver respuesta
Porque son binarios de Microsoft firmados: los antivirus confían en ellos y no hay ningún archivo malicioso en disco que analizar. Por eso se llaman LOLBins (living off the land).
3.2
Resuélvelo
Resuelve el caso tú. Pistas: la persistencia no está en Run; mira los inicios de sesión fallidos.
Ver solución
Aislar. Persistencias:
Userinit en Winlogon (añade mshta.exe vbscript:… detrás de userinit.exe,) y la suscripción WMI SCM_Health_ConsumerFilter. Procesos: mshta.exe (5312) y powershell.exe (5640); no sqlservr.exe, que es el SQL Server del ERP. Servicios: MpsSvc (firewall) habilitar e iniciar, Sense (EDR) reiniciar. Evidencias: 4625 (418 intentos fallidos de red contra admin_soporte) y 4104. Restaurar la copia de Windows Server Backup #104 (la nocturna previa), no la #105.
3.3
Experimento: daño colateral
Si quieres ver la penalización, pulsa Reiniciar, termina también sqlservr.exe y resuelve el resto igual.
Auditoría: 85 / 100 y Mitigación Parcial — Persisten Riesgos o Artefactos, con ¡Atención! Se finalizaron 1 procesos legítimos/críticos (sqlservr.exe).
Ejercicio — Fase 4 · 60 min · Autónomo
🧩 Casos 3, 5, 6 y 7
Resuélvelos en el orden que quieras. Antes de tocar nada, anota en tu cuaderno qué crees que hay que hacer. Objetivo: 100/100 en cada uno.
4.1
03 · Minero XMRig (INC-2026-0315)
Ver solución
Aislar. Persistencias: tarea
…\Customer Experience Improvement Program\TelemetryRunner y Run TelemetryCacheUpdater. Proceso: WinTelemetryHost.exe (7820, minería a 45.142.214.99:3333); no acad.exe (AutoCAD). Servicios: reiniciar wuauserv y BITS; habilitar e iniciar MpsSvc. Evidencias: 4688 y 7031; el 10016 es ruido. Sin restauración.El
svchost.exe con PID 1120 aparece con la ruta C:WindowsSystem32svchost.exe, sin barras: es una errata del simulador, no una pista. Es legítimo (cuelga de services.exe y está firmado).4.2
05 · Adware de un conversor PDF (INC-2026-0519)
Ver solución
Este caso no pide aislar. Persistencias: Run
SearchOptimizerHelper y la carpeta de inicio PDFConverterTray.lnk. Proceso: SearchOptimizerBar.exe (4512); no msedge.exe. Servicios: reiniciar TrustedInstaller y wuauserv. Evidencias: 7034 y 11707 (la instalación del paquete). Restaurar el punto #52, previo a instalar PDFConverterFree.4.3
06 · Volcado de LSASS (INC-2026-0611)
Ver solución
Aislar. Persistencia: tarea
…\ActiveDirectory\AuthSyncWatchdog. Procesos: rundll32.exe (6812, comsvcs.dll, MiniDump 712) y smb_beacon.exe (6904); nunca lsass.exe. Servicios: RemoteAuthDiagSvc detener y deshabilitar; WinDefend habilitar e iniciar; Sense reiniciar. Evidencias: 4688, 7045 y 4624 (aquí el inicio de sesión de red desde 10.20.4.37 sí es evidencia: es el movimiento lateral). Sin restauración.¿Qué hace rundll32.exe comsvcs.dll, MiniDump 712?
Ver respuesta
Vuelca la memoria del proceso 712, que es
lsass.exe, a un archivo. LSASS guarda las credenciales de las sesiones: con ese volcado el atacante saca contraseñas y hashes para moverse a otros equipos.4.4
07 · Cola de impresión explotada (INC-2026-0724)
Ver solución
Aislar. Persistencia: Run
PrintProxyAutoConfig. Proceso: spool_drv_host.exe (5944, hijo de spoolsv.exe); no spoolsv.exe. Servicio: reiniciar Spooler. Evidencia: 4688. Restaurar el punto #64.Ejercicio — Fase 5 · 30 min · Autónomo
🎓 Modo examen y semilla
5.1
Sin pistas
Pulsa Modo guiado (con pistas) para pasar a Modo examen (sin pistas).
Desaparecen el Análisis Didáctico del inspector, los objetivos y la matriz MITRE, y la bitácora solo dice REGISTRADO · … Acción registrada. Su valoración aparece en la auditoría final.
5.2
El caso del profesor
En Cambiar / Generar Caso › Generador Procedural / Semilla Docente, elige el tipo que diga tu profesor, el nivel, el ruido y escribe la semilla de clase. Pulsa Construir Escenario con Semilla "…" y resuélvelo en modo examen.
La misma semilla da el mismo caso a toda la clase. Por ejemplo, Pre-Ransomware, Nivel 2, ruido medio y semilla
EXAMEN-ASIR-01 generan GEN-EXAMEN en el equipo WS-INGENIERIA-06, con el proceso crypt_agent_exa.exe (PID 4550).Si empiezas un caso en modo guiado y cambias a examen a mitad, el informe lo indica: Modo guiado (con las explicaciones a la vista en algún momento).
5.3
El informe
Audita y guarda el informe con Descargar Informe Forense (.txt).
Para terminar
📤 Entrega y autoevaluación
Qué entregas
- Los informes forenses (.txt) del caso 2 y del caso generado con la semilla de clase en modo examen.
- Para un caso de la fase 4: una cronología del ataque con los eventos, y tu plan de respuesta ordenado por fases.
- Las respuestas a estas preguntas:
📝 Preguntas de reflexión
- ¿Por qué se quita la persistencia antes de terminar el proceso? ¿Y por qué se aísla antes que nada?
- Da cuatro motivos para sospechar de un
svchost.exe. - ¿Por qué el ransomware borra las instantáneas antes de cifrar? ¿Qué te salva?
- Un servicio intruso: ¿basta con detenerlo? ¿Y un servicio de seguridad deshabilitado: basta con iniciarlo?
- ¿Por qué un LOLBin firmado por Microsoft puede ser malicioso?
Autoevaluación
Marca lo que eres capaz de hacer sin mirar la guía:
✓
Explicar las fases de la respuesta a incidentes.
✓
Identificar un proceso malicioso y un proceso crítico.
✓
Encontrar y quitar persistencias sin tocar las legítimas.
✓
Reparar servicios con
sc.exe.✓
Reconocer los eventos 4624, 4625, 4688, 4104, 7045 y 5001.
✓
Elegir la copia correcta para restaurar.
Tu progreso en esta guía
—
Referencia
📖 Glosario
| Término | Significado |
|---|---|
| C2 | Servidor de mando y control con el que se comunica el malware. |
| Contención | Impedir que el incidente vaya a más (por ejemplo, aislando el equipo). |
| Erradicación | Eliminar la amenaza y su persistencia. |
| Fileless | Ataque que no deja ejecutables en disco: vive en memoria y en el registro. |
| IOC | Indicador de compromiso: hash, IP, evento… que delata el ataque. |
| LOLBin | Binario legítimo del sistema usado con fines maliciosos. |
| LSASS | Proceso que gestiona la autenticación y guarda credenciales en memoria. |
| Masquerading | Hacerse pasar por un proceso o archivo legítimo. |
| MITRE ATT&CK | Catálogo de técnicas de ataque (T1547.001…). |
| Persistencia | Mecanismo que hace que el malware vuelva a ejecutarse. |
| VSS | Servicio de instantáneas de volumen de Windows. |