De la muestra a la regla

No todos los indicadores valen lo mismo. Algunos le cuestan nada al adversario cambiarlos: el nombre de un archivo, una huella calculada sobre un binario, una dirección. Otros le cuestan trabajo: el dominio de un panel, una cadena que está en el código, y sobre todo el comportamiento que el programa necesita para hacer su trabajo. Un ladrón de credenciales que quiere las claves del navegador tiene que leerlas, y esa lectura no se puede esconder detrás de otro nombre.

El criterio es práctico: un indicador sirve mientras al adversario le cueste más cambiarlo que a ti detectarlo. Los frágiles se entregan igual, para limpiar lo que ya está, pero la regla que se activa descansa sobre lo duradero.

La tabla de indicadores dice en cuántas de las cuatro muestras apareció cada uno. Un indicador que aparece en una sola muestra describe esa muestra; uno que aparece en las cuatro describe la familia. Esa es la columna que ordena el trabajo de quien escribe reglas.

Abre indicadores.csv y busca el que aparece en todas las muestras.

Una regla YARA busca cadenas dentro de un archivo. La condición any of them salta si cualquiera de las cadenas aparece, y por eso una sola cadena demasiado común vuelve ruidosa toda la regla. Antes de activarla se prueba contra un corpus de archivos limpios y se mira cadena por cadena cuántas veces acertó.

Lee reglas/muestra.yar y reglas/pruebas-yara.csv. Una cadena acierta en las cuatro muestras, pero también en cientos de archivos que no son malos.

Una regla Sigma describe un evento con bloques de selección y los combina en una condición con and, or y not. La regla propuesta tiene un bloque que selecciona la lectura del almacén de claves y otro que lista los navegadores legítimos, pero su condición solo menciona el primero. Cada vez que el propio navegador lee su almacén, la regla salta.

Abre reglas/lectura-ajena.yml y piensa qué hace falta para que los navegadores legítimos queden fuera sin perder la lectura del proceso ajeno.

Una regla se juzga por lo que deja después de quitar lo explicable. Con la condición corregida, los aciertos de 30 días en equipos limpios bajan a los procesos que no son navegadores. Esos son los que un analista tiene que revisar: cada uno es o una herramienta legítima que se agrega a la lista de excepciones, o una sorpresa.

Abre reglas/pruebas-sigma.csv y suma los aciertos de los procesos que no son navegadores.