Cadenas útiles y cadenas que engañan

Una cadena es texto que está escrito en el archivo. Eso es todo lo que demuestra. No demuestra que el programa lo use, ni que lo haga como parece: puede venir de una biblioteca incluida y jamás ejecutarse, puede ser un mensaje que solo sale en un caso raro, o puede estar ahí para que el análisis se desvíe.

Por eso las cadenas se leen como pistas que hay que corroborar, no como hechos. Una dirección de red o un nombre de objeto del sistema (un mutex, una ruta, una clave del registro) orientan la búsqueda; la confirmación llega de otra fuente, como el comportamiento observado en un entorno aislado o la presencia del mismo texto en otras muestras.

Entre las cadenas hay una familia especialmente útil: los nombres de objetos del sistema que el programa crea o consulta. Un caso típico es el mutex, un objeto con nombre que un programa crea para saber si ya hay otra copia suya funcionando. Su nombre suele ir precedido de un prefijo de ámbito (por ejemplo Global\) y, al no ser de ningún programa conocido, es un indicador excelente: es estable, específico y fácil de buscar en otras máquinas.

La salida de cadenas de la muestra M-0612 trae su posición en el archivo. Las posiciones cercanas suelen pertenecer a la misma parte del programa, así que un objeto con nombre rodeado de rutas y claves de arranque no es ruido de biblioteca.

Los destinos de red aparecen como nombres de dominio o como direcciones numéricas. Los dos orientan, pero se tratan distinto: un dominio se puede cambiar de un día para otro y deja rastro en las consultas de nombres de la empresa; una dirección numérica deja rastro en los registros de conexión y obliga a preguntar de quién es. Una dirección escrita directamente en el archivo, sin pasar por un nombre, es un destino fijo que conviene anotar por separado.

Una cadena que aparece en 38 de 40 programas corporativos no distingue nada: es de la biblioteca de compilación. Una que no aparece en ninguno sí distingue, porque no hay explicación corporativa. Esa comparación, la frecuencia en la empresa, es la forma barata de separar el ruido de lo específico, y es lo que se anota como indicador candidato.

La cuenta es sobre la tabla de frecuencias: cuenta las cadenas que no están en ninguno de los 40 programas. No te sirve mirar cuáles «parecen» sospechosas.

La muestra lleva escrito un derecho de autor de la propia empresa y un título que parece de «Sistemas». Esas cadenas se pueden escribir en cualquier archivo: cualquiera copia un texto de la empresa. Tampoco prueban lo contrario: algunos programas legítimos de proveedores traen derechos de autor genéricos. Lo que decide el origen es lo que se puede comprobar fuera del texto: la firma, la huella en el catálogo, quién lo envió.

También mira las cadenas de herramientas de diagnóstico: aparecen en la muestra y en tres programas corporativos. Una cadena que se parece a un comportamiento de evasión pero que también aparece en software de diagnóstico se anota como posible, no como hecho.