Indicadores de compromiso y comportamiento, dos cosas distintas

Un indicador de compromiso es un valor concreto y comprobable que se asocia a una actividad maliciosa: la huella de un archivo, un nombre de dominio, una dirección IP, una cadena de texto. Sirve para buscar con rapidez en los registros: «¿alguno de mis equipos habló con este servidor?». Es barato de compartir y barato de comprobar, y por eso casi toda la inteligencia compartida entre equipos viaja así.

Un comportamiento es lo que el programa hace: cómo se instala para volver a arrancar, cada cuánto consulta a un servidor, qué archivos lee, qué crea en el sistema. Es más costoso de extraer, porque exige leer el informe del entorno aislado o los registros del equipo, pero también es más costoso de cambiar para quien fabricó el programa.

La diferencia práctica es la vida útil. Quien fabrica una familia de programas puede cambiar la huella con solo recompilar, y cambia de dominio cuando quiere; cambiar lo que el programa hace obliga a rehacer su diseño. Por eso un indicador caduca y una conducta suele sobrevivir de una variante a la siguiente. Los dos sirven; sirven para cosas distintas.

Abre el laboratorio y ejecuta SELECT * FROM observables. La tabla tiene cuatro valores que se anotaron al leer S-1402. La columna se_rompe_con dice qué le basta hacer a quien los fabricó para que el valor deje de coincidir, y vida_tipica cuánto suele durar un indicador de ese tipo.

Lee las cuatro filas con una pregunta en la cabeza: ¿cuánto esfuerzo le cuesta al otro lado invalidar este valor? Lo que se invalida con un gesto mínimo es lo que primero sale de la lista y lo que menos conviene usar como único apoyo de una detección.

Cacaotal ha visto la misma familia tres veces: en octubre, en diciembre y ahora. SELECT * FROM variantes te muestra que no comparten hash ni dominio. Si la detección se hubiera escrito con los valores de la primera, la tercera habría pasado sin sonar.

SELECT * FROM comportamientos pone lado a lado lo que cada variante hace. La columna variantes dice en cuáles de las tres se vio cada conducta, y la columna evidencia, de dónde sale. Una conducta que aparece en las tres es la que sobrevive a los cambios de valores, y es la mejor candidata para una regla de familia.

Hay dos errores simétricos. El primero es escribir toda la detección con valores concretos: es rápida de hacer, y caduca en la siguiente variante. El segundo es escribir una regla de conducta demasiado específica de una sola variante, que no reconoce a las demás.

El criterio que sirve es combinar: la regla principal se apoya en la conducta que sobrevive entre variantes, y los valores concretos se guardan como apoyo, con su fecha, para buscar hacia atrás en los registros y confirmar qué equipos tocó esta muestra.