La muestra en los informes

La entropía mide cuán desordenados parecen los bytes de una sección: un valor alto sugiere contenido comprimido o cifrado, y por sí sola no prueba nada, porque un instalador legítimo lo tiene igual. Lo que sí hace es señalar dónde mirar. En el informe estático del ejecutable recuperado, una sección destaca sobre las demás.

En un informe de entorno aislado hay mucho que no es de la muestra: lo que el sistema hace por sí solo al arrancar y lo que ya estaba en la imagen. Por eso el informe viene acompañado del ruido de la imagen base, medido sin ninguna muestra. Lo de la muestra es lo que sobra al restar ese ruido.

De las conexiones del informe, unas son del propio sistema y otras de la muestra. Un dominio que la imagen base no contacta, que la empresa no usa y que se resolvió justo al ejecutar la muestra es candidato a indicador. Esta es una lectura de lo que se resolvió en una red simulada: no hubo respuesta real ni datos.

Un instalador legítimo puede compartir con una muestra empaquetada la entropía alta de los recursos y las pocas importaciones: son señales ambiguas. En la empresa hay un instalador firmado con esas mismas señales en nueve equipos. Lo que sí distingue a la muestra del informe es otra cosa: no tiene firma, no figura en el inventario y no existía en la empresa antes de la semana del caso.

El informe del entorno aislado cierra con una lista de lo que no se observó: no hubo cifrado de archivos de ejemplo, ni copias de sombra borradas, ni contacto con otro equipo, ni reinicio, ni relación con el proceso zsrv32.exe, que fue el que renombró los archivos en los servidores. En una investigación, esa lista pesa tanto como lo observado.