La huella visible — extensión y nota

Cuando un programa de cifrado termina con un archivo, muchas veces le añade al nombre una extensión nueva. Esa extensión es una huella útil: sirve para contar cuántos archivos se tocaron y para buscar el mismo rastro en otros servidores. Pero no todo renombrado es cifrado. Una rotación de respaldos, una limpieza de temporales o una migración también cambian nombres.

Por eso lo primero es separar lo programado de lo que no lo es. El inventario trae una columna que lo dice. Lo que queda después de descartar los trabajos con explicación es la huella del incidente.

La nota es un archivo de texto que se escribe en cada carpeta afectada. Su contenido (el contacto y la exigencia) no hace falta para investigar y aquí no se reproduce: lo que importa es su nombre, dónde está y a qué hora apareció. La primera nota de cada servidor llega pocos segundos después del primer archivo que se renombra ahí, así que ordenar las notas por hora da el orden en que fueron cayendo los servidores.

El servidor con la primera nota es, casi siempre, el primero que se tocó. Es un punto de partida para la línea de tiempo, no una conclusión: dónde empezó el cifrado no es dónde empezó la intrusión.

Una nota en una carpeta dice que el cifrado llegó hasta ahí. No dice cuándo entraron, por dónde, con qué cuenta ni si queda algo más corriendo. Es la última huella de la cadena, no la primera, y quien investiga solo desde la nota empieza por el final.

También conviene no darle más peso del que tiene: una nota no demuestra por sí sola que un servidor sea el origen, ni que los archivos de otro servidor sin nota estén a salvo. Cada afirmación se apoya en el inventario de ese servidor.

El inventario trae también dos conjuntos de archivos renombrados esa misma madrugada que no tienen la extensión del incidente. Un compañero propone declarar «cifrado» el servidor de la aplicación del ERP, porque tuvo archivos temporales renombrados entre las 02:00 y las 03:30. Hay que decidir con la evidencia, no con la hora.

Para el aviso inicial a la dirección hace falta una cifra honesta de alcance. Se cuenta con lo que el inventario demuestra, no con lo que se teme: cada servidor que tiene su huella —la extensión del incidente y la nota— cuenta; el que no la tiene, no.