Del hallazgo al rasgo detectable

Un informe de análisis puede decir diez cosas ciertas de una muestra y solo tres sirven para detectar la siguiente. Una observación sirve cuando cumple tres condiciones a la vez: es estable (aparece también en las variantes de la familia, no solo en la muestra que se analizó), es rara (casi ningún programa legítimo del entorno la tiene) y es barata de buscar (hay una fuente que la guarda y se puede consultar a escala).

Las dos primeras se miden con datos, no con intuición: se compara la observación entre varias muestras y se cuenta en cuántos programas limpios del parque aparece. Una cadena que está en una sola muestra describe a esa muestra; una función que usan doscientos programas legítimos describe a casi todos.

Para saber si un rasgo es raro hay que preguntárselo al propio parque: cuántos programas legítimos de la organización lo contienen. La tabla observaciones trae esa cifra para cada rasgo. Abre primero las dos muestras y después filtra por lo que comparten.

Entre lo que comparten hay rasgos de dos tipos: los que son propios de la familia y los que son simplemente verdad de casi cualquier programa que hable por la red. Los segundos no se descartan —pueden ayudar acompañando a otros—, pero nunca sostienen una regla solos.

Un tipo de rasgo que suele ser estable y raro a la vez es la marca de ejecución única: algunos programas crean un objeto con un nombre fijo para comprobar que no se están ejecutando dos veces. Ese nombre vive dentro del programa, no lo cambia quien lo distribuye por un detalle menor y ningún programa legítimo lo comparte.

La lista de rasgos con cero programas legítimos incluye esa marca, pero también rasgos que ya cambiaron entre las dos muestras. Hay que cruzar las dos columnas: raro y estable.

Con las tres tablas leídas, la decisión es qué entra en la regla. Hay dos errores simétricos. El primero es meter todo lo que se observó, incluidos el tamaño del archivo y el nombre del dominio de control, que cambian de una variante a otra: la regla funciona hoy y falla mañana. El segundo es quedarse con un solo rasgo, el más estable, y depender de que nadie lo toque.

Lo razonable es combinar los rasgos raros y estables y dejar los comunes, si acaso, como apoyo. Los que cambian entre muestras no entran: se anotan como indicadores de corta vida para buscar en otro sitio.