Conexiones y módulos de un proceso sospechoso

Una conexión de red en memoria no trae el nombre de ningún programa: trae un número, el PID del propietario. Es ese número el que une la salida de sockets con la lista de procesos y permite decir «este programa estaba hablando con aquella dirección». Sin el PID, una dirección externa en una captura es solo un dato suelto.

Las filas en estado cerrado también valen: son conexiones que ya terminaron pero cuyos restos seguían en memoria, y con su hora de creación cuentan cuándo se abrió cada una.

Abre netscan.txt y busca las filas del PID del proceso sospechoso. Las filas del navegador y del correo van a destinos corrientes; lo que interesa es hacia dónde se conectaba el que no encaja. La dirección remota es un indicador de red: sirve para buscarla en el proxy y en el cortafuegos y saber qué otros equipos la contactaron.

Un proceso carga bibliotecas, y cada una tiene nombre y ruta. La lista de carga (dlllist) las enseña tal como las registra el cargador del sistema. Casi todas viven en la carpeta del sistema; una que viene de la misma carpeta que el ejecutable sospechoso, y que ninguna referencia reconoce, es una biblioteca de la muestra.

El cargador de Windows mantiene tres listas de módulos por proceso. Cuando todo es normal, cada módulo aparece en las tres. El plugin ldrmodules compara las tres, y un módulo que sale falso en las tres columnas pero sigue ocupando memoria ejecutable es un módulo que alguien sacó de las listas, o que se colocó a mano en la memoria sin pasar por el cargador. Sin archivo asociado, además, no hay nada en disco que analizar: todo lo que existe está en el volcado.

Esa diferencia entre dlllist y ldrmodules es lo que se busca: lo que uno no enseña, el otro lo delata.

Las filas del proceso sospechoso hacia la dirección externa no son al azar: se crean a horas separadas por el mismo intervalo. Un programa que consulta a su servidor a ritmo fijo deja eso, y el intervalo es un dato más de la muestra, útil para la regla de detección de red.

Calcula el intervalo entre una conexión y la siguiente con las horas de creación de netscan.txt.