Familia, variante y muestra no son lo mismo

Una muestra es un archivo concreto, identificado por su huella (SHA-256). Cambia un solo byte y es otra muestra, aunque haga exactamente lo mismo.

Una variante es un conjunto de muestras de la misma familia que comparten una misma versión o construcción del código. Los autores suelen generar muchas muestras distintas a partir de la misma versión, cambiando la configuración, el empaquetado o unos bytes de relleno, precisamente para que la huella no sirva de detección.

Una familia es el código base común, el que se reconoce aunque cambien la versión y la configuración. Es el nivel que importa para buscar informes previos, comparar capacidades y escribir reglas que sobrevivan a la próxima muestra.

Contar familias por huella es el error clásico: nueve archivos distintos pueden ser una sola familia, y dos archivos con la misma configuración pueden ser dos familias.

Abre el laboratorio y lee la cola de la semana:

cat cola-semana.csv

Cada fila es un archivo distinto. La columna familia_segun_analisis sale del análisis completo, no del nombre que dio un antivirus. La columna version_interna es la que declara el propio programa. En esta tabla la variante se define por la versión interna.

Una campaña es una operación concreta: un periodo, unas víctimas, unos señuelos, una infraestructura. Se nota en la configuración que el operador le pone a cada muestra (un identificador de campaña, un servidor de mando). La misma familia puede usarse en varias campañas, y una misma campaña o un mismo operador pueden usar varias familias a la vez, por ejemplo una para entrar y otra para quedarse.

Por eso compartir campaña o servidor de mando no prueba que dos muestras sean de la misma familia. Lee el borrador de informe:

cat informe-semanal-borrador.txt

El identificador de campaña viaja en la configuración, y la configuración la elige quien opera el programa, no quien lo escribió. En familias que se venden o se alquilan, varios operadores sin relación entre sí usan el mismo código con configuraciones distintas. Por eso el identificador sirve para agrupar muestras de una misma operación y para medir su alcance, pero no dice nada por sí solo de la familia ni de quién la escribió.

La línea 4 del borrador propone bloquear un servidor de mando para «cortar todas las muestras de Pirinola». Ese razonamiento confunde la infraestructura de una campaña con la familia. Un servidor de mando sirve a las muestras configuradas para él, sean de la familia que sean, y deja fuera a las de la misma familia configuradas para otro. Bloquearlo es correcto, pero el informe tiene que decir qué corta y qué no.