DFIR
Artefactos del navegador
El navegador guarda un diario detallado de la actividad del usuario, y todo vive en bases de datos SQLite.
Con sqlite3 abres el historial y consultas las URLs visitadas y cuándo. También están las descargas, perfectas para ver de dónde bajó el malware, y a veces credenciales guardadas.
En una investigación de un usuario, o de una cuenta comprometida, el historial del navegador cuenta lo que pasó. Sabe leer un SQLite y tendrás la historia completa.
# los comandos
analyst@dfir:~# sqlite3 places.sqlite 'select datetime(last_visit_date/1000000,"unixepoch"),url from moz_places order by last_visit_date desc limit 5'copiar2026-08-05 02:40 | http://evil.co/panel
2026-08-05 02:41 | http://185.244.x.x/x.sh
analyst@dfir:~# sqlite3 History 'select target_path,tab_url from downloads'copiar/home/u/Descargas/factura.exe | http://evil.co