Imágenes de disco y archivos comprimidos

Una imagen de disco (ISO, IMG, VHD) es la copia de un volumen; un archivo comprimido (ZIP, 7z, RAR) agrupa archivos. En ambos casos la pasarela de correo analiza el envoltorio, y si no mira dentro, lo que va dentro no se examina. Además, la marca de la web protege al archivo descargado; que los archivos de dentro la hereden depende de cómo y con qué herramienta se abra el contenedor, y varía entre versiones. Un analista no lo supone: lo comprueba en la evidencia.

La lectura defensiva es esta: primero se lista el interior, y el listado dice más de lo que parece (nombres, tamaños, atributos y fechas). Abre A-0234-listado-imagen.txt.

El listado imprime una columna de atributos. La letra H marca un archivo oculto: el explorador no lo muestra salvo que se pida. Que una imagen que dice ser un extracto bancario contenga un acceso directo visible y, aparte, una carpeta de sistema con archivos ocultos es una combinación que un extracto no necesita: lo visible es el cebo y lo oculto es lo que el cebo invoca.

Observa también las fechas: la imagen se creó la víspera por la noche, y eso, por sí solo, no prueba nada.

El listado técnico de un ZIP muestra para cada entrada su tamaño, su tamaño comprimido, la fecha, si está cifrada (Encrypted = +) y el método. Los nombres de los archivos se ven aunque el contenido esté cifrado, porque en el formato ZIP la lista de entradas va aparte. El método importa: el cifrado clásico del formato es débil y los métodos AES son más sólidos. Para el triaje lo relevante no es la fortaleza, sino que mientras esté cifrado nadie puede inspeccionar el contenido.

Lee A-0235-listado-zip.txt y localiza el método que declara.

Entre las entradas del ZIP hay una cuyo nombre acaba con dos extensiones: la primera aparenta un documento y la última dice qué es en realidad. Windows decide qué hacer según la última. Es el mismo engaño de la sala anterior, ahora en un archivo de script. Tratar un nombre con doble extensión como indicador es una regla de detección razonable y barata, pero con falsos positivos ocasionales (un archivo llamado «v1.2.pdf» no tiene doble extensión real).

Lee A-0235-cuerpo-del-correo.txt: la clave de apertura va en el mismo correo. Si la clave viaja junto al archivo, el cifrado no protege la confidencialidad de nada; su único efecto práctico es que las herramientas automáticas no pueden mirar dentro. Para quien defiende, un adjunto que no se puede inspeccionar no es un adjunto limpio: es un adjunto no inspeccionado, y se trata como tal. La clave de la ficha es un valor ficticio del laboratorio, no una credencial real.