Cómo salen los datos robados

Casi todo ladrón envía lo recolectado por HTTPS, igual que cualquier página: así se confunde con el tráfico normal y el contenido viaja cifrado. Quien defiende no puede leer el contenido de esa conexión, pero sí ve lo que la rodea: a qué destino fue, a qué hora, cuántos bytes salieron y volvieron y, en el equipo, qué proceso la abrió.

Eso alcanza para casi todo. Un programa que no es un navegador y manda de una vez decenas de miles de bytes a un destino que nadie en la empresa usa se nota sin descifrar nada. El contenido solo se conoce si hay otra fuente, como un informe del entorno aislado.

Lo recolectado se junta primero en un archivo temporal y luego se envía. Si el tamaño del envío coincide con el del archivo temporal que el informe anotó, ya sabes qué conexión fue la que se llevó los datos, y no hace falta adivinar entre decenas de líneas normales.

Lee notas-del-entorno.txt para saber cuánto pesaba el archivo temporal y busca ese tamaño en ejecucion-2.csv, la corrida en la que todos los destinos respondían.

Muchas familias traen más de un destino de envío. Si el primero no responde, reintentan y, pasado un tiempo, pasan al siguiente. Al analista le importa por una razón práctica: bloquear solo el primer dominio no corta la salida. Los indicadores que se entregan al equipo de red tienen que incluir todos los destinos que la corrida mostró, no solo el primero que se ve.

En la ejecución 1 el primer destino estaba apagado a propósito. Mira qué hace el programa después de sus reintentos.

Para dimensionar una salida se suma lo que se envió fuera de lo normal. Lo normal se define con una lista: los destinos que la empresa usa a diario. Todo lo que no está en esa lista es candidato, y se suma completo, incluidos los reintentos fallidos, porque un reintento sin respuesta igual puso su carga en la red.

Cuenta, en ejecucion-1.csv, los bytes de salida de todas las filas cuyo destino no figure en servicios-habituales.txt.

El resultado de leer las dos corridas no es «salió por HTTPS». Es una lista de acciones: los destinos observados para bloquear y vigilar, y una regla de comportamiento que no dependa de esos destinos, porque el adversario puede cambiarlos y el comportamiento es más difícil de disfrazar: un proceso que no es un navegador envía un cuerpo grande a un dominio que nunca antes se había visto.