Alias: cuando cada fabricante le pone otro nombre

Cuando un motor antivirus marca un archivo, le pone un nombre de detección. Ese nombre es la etiqueta de la regla o el modelo que disparó dentro de ese motor, no una clasificación hecha por un analista. Cada fabricante arma sus nombres con su propio formato (plataforma, tipo, familia, variante, sufijos) y bautiza las familias por su cuenta, a menudo antes de que nadie más las haya visto.

Una parte grande de los nombres no nombra ninguna familia: son detecciones genéricas o heurísticas. Dicen «esto se parece a algo malo» o «esto se comporta de forma sospechosa», y suelen llevar palabras como genérico, heurístico, sospechoso o agente. Tratarlas como nombre de familia es inventar una familia que no existe.

Abre el laboratorio y lee lo que dijeron los motores y la tabla de alias del equipo:

cat detecciones.csv
cat tabla-de-alias.csv
cat formatos-de-nombre.txt

Una tabla de alias une cada nombre que usa un fabricante con un nombre canónico: el que el equipo eligió para referirse a la familia en sus informes. Sin ella, el mismo caso aparece en tres informes con tres nombres y nadie sabe que hablan de lo mismo. La tabla lleva la fecha de revisión, porque los fabricantes renombran familias y a veces corrigen sus detecciones.

Que varios motores detecten un archivo dice que es probablemente malicioso; no dice de qué familia es. Si todos los nombres son genéricos, la muestra no tiene familia conocida por esta vía, y el informe lo dice así. La familia, si existe, tendrá que salir del análisis (comportamiento, configuración, código compartido con otras muestras), no del recuento de detecciones.

El caso más traicionero no es el nombre genérico, sino el nombre específico que un fabricante usa para dos familias distintas. Pasa cuando un motor agrupa por un rasgo que comparten (el mismo empaquetador, una biblioteca común, una regla escrita para la primera que también atrapa a la segunda). Ese nombre parece de familia, pero por sí solo no decide nada: hay que mirar qué dicen los demás motores y, sobre todo, el análisis.

En el informe la familia se escribe con el nombre canónico y, al lado, los alias con el motor que usa cada uno y la fecha de la tabla. Así quien busca por el nombre de su antivirus encuentra el caso, y quien lee sabe que todos hablan de lo mismo. Los marcos públicos hacen algo parecido: las fichas de software de MITRE ATT&CK registran los otros nombres con que se conoce cada programa, y el objeto Malware de STIX 2.1 tiene un campo de alias. Lo que no se hace es elegir el nombre del motor favorito ni mezclar nombres en el mismo párrafo.