Agrupar una cola con varios métodos a la vez

Cada método mira una parte distinta del archivo y cada uno tiene su punto ciego. TLSH mide bytes y se deja engañar por una biblioteca o un empaquetador compartidos. El hash de importaciones se repite en cualquier programa del mismo tipo. El icono y la ficha de versión se copian a propósito. Un recurso propio pesa mucho, pero un autor puede reutilizarlo en dos herramientas distintas.

Por eso los equipos escriben una política de agrupación: qué métodos cuentan como fuertes, cuáles como débiles, qué rasgos quedan descartados por estar en programas legítimos y cuántos métodos tienen que coincidir. La política no es un dato técnico universal: es una decisión del equipo, escrita para que dos analistas agrupen igual la misma cola.

Abre el laboratorio y ejecuta SELECT * FROM politica_agrupacion, SELECT * FROM pares y SELECT * FROM rasgos_en_la_flota.

Recorre la tabla de pares fila por fila. Para cada par, tacha primero los rasgos que la flota legítima también tiene (PA-3); después mira si la distancia TLSH está dentro del umbral vigente; por último cuenta cuántos métodos quedan y si alguno es fuerte (PA-4). Con los enlaces que sobrevivan, arma los grupos: una muestra puede entrar porque está enlazada con cualquier miembro, no hace falta que lo esté con todos.

Un grupo no exige que todos sus miembros se parezcan a todos. Una muestra puede estar lejos de un miembro y aun así entrar porque está enlazada con otro. Es útil, porque una familia cambia poco a poco, y es peligroso, porque una cadena larga puede acabar uniendo cosas muy distintas. Por eso, al declarar el grupo, se anota qué miembro entra solo a través de otro.

ECA-17 comparte con ECA-01 y con ECA-02 el recurso PLANTILLA_7, que no aparece en ningún programa legítimo de la flota: es el rasgo más fuerte de toda la cola. Pero su distancia TLSH con las dos pasa de 110, no comparte hash de importaciones y su icono es distinto. Fabián propone meterla en el primer grupo «porque el recurso no se repite por casualidad».

ECA-12 y ECA-13 están a una distancia TLSH de 45, dentro del umbral, y además comparten hash de importaciones. A primera vista son dos métodos y uno fuerte. Antes de unirlas, vuelve a la tabla de rasgos de la flota.