Análisis de archivos en D3FEND: hash, contenido, reglas y entorno aislado

En D3FEND, File Analysis (D3-FA) agrupa las contramedidas que examinan un archivo para decidir si es dañino. Debajo están File Hashing (D3-FH), que compara la huella del archivo con una lista de huellas conocidas; File Content Analysis (D3-FCOA), que busca patrones en el contenido sin ejecutarlo, y su variante File Content Rules (D3-FCR), que lo hace con reglas escritas en un lenguaje de patrones, como las reglas YARA; Dynamic Analysis (D3-DA), que abre el archivo en un entorno aislado y observa lo que hace, y Emulated File Analysis (D3-EFA), que simula la ejecución del código en vez de abrirlo en un sistema completo.

Cada una ve cosas distintas y falla de forma distinta. La huella reconoce copias exactas y nada más. El contenido y las reglas reconocen patrones, y dejan de verlos cuando el archivo los esconde. El entorno aislado ve conductas, pero solo las que ocurren mientras observa y en el entorno que ofrece.

La pasarela de Tacarigua aplica tres etapas en orden. La tabla resultados muestra qué dijo cada una de los cuatro adjuntos de la semana. Uno de ellos es la misma familia que HTG-2051, pero con una huella nueva: la lista de huellas no lo reconoció y otra etapa sí.

Abre el laboratorio y lee etapas_pasarela y resultados.

Un entorno aislado observa durante un tiempo fijo. Si la muestra espera más que eso antes de actuar, el informe sale sin actividad, y eso no significa que el archivo sea limpio: significa que no se vio nada en ese plazo. Es uno de los límites de la contramedida de análisis dinámico, junto con la fidelidad del entorno y las activaciones por fecha u orden externa.

Uno de los adjuntos salió sin actividad en la pasarela y el equipo de análisis lo repitió con más tiempo. Compara la duración de la pasarela con el segundo de su primera acción en informe_largo.

Con el segundo análisis delante, tarifa_harinas_feb.exe escribe el mismo valor de arranque que HTG-2051 y habla con el mismo servidor. El informe tiene que decir qué falló y qué se propone, en el lenguaje del marco, para que la propuesta se entienda en cualquier equipo.