Velociraptor

¿Qué es Velociraptor?

Velociraptor es una plataforma open source diseñada para respuesta a incidentes, threat hunting y forense digital a escala. La creó Mike Cohen, que fundó Velocidex tras ocho años en Google, y desde 2021 la mantiene Rapid7, que firma el binario incluido en el MSI oficial —el MSI reempaquetado hay que firmarlo aparte—. Permite a los equipos de seguridad y peritos forenses:

• Recolectar artefactos de miles de endpoints simultáneamente
• Ejecutar consultas en tiempo real sobre sistemas en vivo
• Hunting de amenazas con lenguaje de consulta flexible (VQL)
• Monitorizar eventos concretos de forma continua cuando se configura para ello
• Automatizar respuesta a incidentes

Arquitectura

Componentes Principales

Modelo de Despliegue

                    ┌─────────────┐
                    │   Server    │
                    │  (Central)  │
                    └──────┬──────┘
                           │
        ┌──────────────────┼──────────────────┐
        │                  │                  │
   ┌────▼────┐       ┌────▼────┐       ┌────▼────┐
   │ Client  │       │ Client  │       │ Client  │
   │ (Win)   │       │ (Linux) │       │ (Mac)   │
   └─────────┘       └─────────┘       └─────────┘

VQL: Velociraptor Query Language

VQL es el corazón de Velociraptor. Es un lenguaje de consulta similar a SQL pero diseñado para forense:

Ejemplos de Consultas

Listar procesos en ejecución:

SELECT Pid, Name, Exe, CommandLine 
FROM pslist()

Buscar archivos por hash:

SELECT OSPath, hash(path=OSPath).SHA256 AS SHA256
FROM glob(globs="C:/Users/*/Downloads/*")
WHERE SHA256 = "<huella SHA-256 completa, 64 caracteres hexadecimales>"

Buscar conexiones de red sospechosas:

SELECT Pid, Raddr.IP AS RemoteIP, Raddr.Port AS RemotePort, Status
FROM netstat()
WHERE Raddr.Port IN (4444, 5555, 6666)

Las columnas de netstat() son Fd, Family, Type, Laddr, Raddr, Status y Pid; la dirección remota viaja anidada en Raddr. Un WHERE RemotePort IN (…) sobre el nombre plano devuelve cero filas aunque el puerto esté abierto, por la misma razón que el ejemplo anterior.

Timeline de ejecución de programas (Prefetch):

SELECT Executable, LastRunTimes, RunCount
FROM Artifact.Windows.Forensics.Prefetch()
ORDER BY LastRunTimes DESC

Artefactos Disponibles

Velociraptor incluye cientos de artefactos predefinidos:

Windows

Linux

macOS

Casos de Uso Forense

Investigación de Ransomware a Escala

Hunting de Persistencia

Buscar mecanismos de persistencia en todos los endpoints:

-- Tareas programadas sospechosas
SELECT * FROM Artifact.Windows.System.TaskScheduler()
WHERE Command =~ "powershell|cmd|wscript"

-- Servicios anómalos
SELECT * FROM Artifact.Windows.System.Services()
WHERE PathName =~ "temp|appdata|public"

-- Autoruns sin editor identificado
SELECT * FROM Artifact.Windows.Sysinternals.Autoruns()
WHERE Publisher = NULL OR Publisher = ""

Investigación de Insider Threat

-- Rastro de actividad en el perfil del usuario.
-- Ojo: Windows.Registry.NTUser parsea NTUSER.DAT (por defecto, ComDlg32),
-- que es el hive del USUARIO. NO sirve para USBSTOR, que vive en
-- HKLM\SYSTEM y necesita otro artefacto.
SELECT * FROM Artifact.Windows.Registry.NTUser()

-- Cloud storage sincronizado
SELECT * FROM glob(globs=[
  "C:/Users/*/Dropbox/**",
  "C:/Users/*/OneDrive/**",
  "C:/Users/*/Google Drive/**"
])

Ventajas sobre Herramientas Tradicionales

Integración con Otras Herramientas

Consideraciones Forenses

Validez Judicial

Ninguna herramienta trae la validez judicial incorporada, y Velociraptor tampoco. El art. 348 LEC somete el dictamen pericial a la sana crítica del tribunal, y el art. 741 LECrim reserva al órgano judicial la apreciación de la prueba en el proceso penal. Lo que se valora, con la herramienta que sea, es si el método empleado es reproducible y verificable por un tercero, y si el perito puede explicarlo y sostenerlo en la ratificación en juicio.

Lo que sí está en manos del perito es no perder por el camino lo que la herramienta sí puede sostener:

1. Autorización previa y documentada del titular o del órgano judicial. Es la primera, no la última: Velociraptor ejecuta código en equipos ajenos.
2. La consulta exacta ejecutada, transcrita literalmente, no descrita. Es lo que permite repetirla.
3. La cadena de custodia de lo recolectado, desde la extracción hasta la entrega.
4. Las huellas SHA-256 de cada fichero extraído, calculadas en el momento de la adquisición.
5. El servidor, endurecido y con su propio registro de acceso: quien lo administra puede alterar lo que guarda, y esa es la primera pregunta de un contraperito.

Documentación recomendada del hunt

Lo que sigue es la plantilla de lo que conviene dejar registrado por cada hunt, no el registro de una actuación concreta. Los corchetes se rellenan con los valores reales en el momento de ejecutarla:

DOCUMENTACIÓN DE HUNTING VELOCIRAPTOR

Caso: [identificador interno del expediente]
Fecha: [ISO 8601 en UTC con offset]
Analista: [nombre y apellidos de quien ejecuta]
Autorización: [órgano o titular que la concede, y fecha]

Hunt ID: [el que asigna el servidor]
Descripción: [objetivo del hunt, en una línea]

Consulta VQL (transcrita literalmente, no descrita):
SELECT * FROM Artifact.Windows.Detection.Yara.Glob(
  PathGlob="C:/Windows/Temp/*",
  YaraUrl="https://<servidor-interno>/reglas/lockbit.yar"
)

Endpoints consultados: [total del alcance autorizado]
Endpoints con hallazgos: [total]
Resultados exportados: [nombre del fichero]
Hash resultados: SHA-256 [64 caracteres hexadecimales, completos]

Despliegue Básico

Instalación del Server

## Descargar binario. El nombre del activo lleva la versión dentro
## (velociraptor-vX.Y.Z-linux-amd64), así que no existe una ruta fija
## /latest/download/: hay que resolver la última publicación.
curl -s https://api.github.com/repos/Velocidex/velociraptor/releases/latest \
  | grep -oE 'https://[^"]+linux-amd64' | head -1 | xargs curl -LO

## El fichero descargado conserva el nombre del activo (velociraptor-vX.Y.Z-linux-amd64)
## y llega sin bit de ejecución, porque HTTP no transporta permisos.
mv velociraptor-v*-linux-amd64 velociraptor && chmod +x velociraptor

## Generar configuración
./velociraptor config generate -i

## Iniciar server
./velociraptor --config server.config.yaml frontend

Crear Instalador de Cliente

## Windows: --msi NO es un interruptor, sino la ruta al MSI oficial
## que se usa de plantilla para incrustar la configuración del cliente.
./velociraptor config repack --msi velociraptor-windows.msi \
  client.config.yaml velociraptor-windows-repacked.msi

## Linux: el paquete Debian NO se hace con repack, sino con su propio subcomando.
./velociraptor debian client --config client.config.yaml

Recursos y Comunidad

• Documentación: docs.velociraptor.app
• GitHub: Velocidex/velociraptor
• Discord: invitación oficial desde la documentación
• Formación: el temario de SANS FOR508 incluye el módulo «Scaling Remote Endpoint Incident Response, Hunting, and Analysis Using Velociraptor» (comprobado el 27 de agosto de 2026)

Conclusión

Velociraptor cambió la escala del forense de respuesta: donde antes había que ir equipo por equipo, permite lanzar la misma pregunta sobre todo el parque desplegado y recoger las respuestas en un único sitio. Esa es su ventaja real, y tiene una contrapartida que conviene tener presente en sede judicial: a diferencia de una imagen forense, Velociraptor no es pasivo — ejecuta código en el equipo investigado. Por eso la autorización y el registro de cada consulta no son burocracia, son lo que permite sostener después el trabajo ante un tribunal.

Si necesitas una recolección a escala documentada para aportarla a un procedimiento, puedes consultar el caso o revisar cómo se prepara un informe pericial informático. Quién firma y con qué método, en sobre mí.

Última actualización: 27 de agosto de 2026 Categoría: Herramienta Código: VEL-001