Leer un informe de triaje

Un informe de triaje responde a una pregunta limitada: qué es este archivo y cuánto merece atención. No responde qué hace, ni quién lo hizo, ni a quién iba dirigido. Sus cinco secciones son siempre las mismas: identificación (para hablar de este archivo y no de otro), tipo (nombre frente a contenido), reputación (qué vieron otros), primeras observaciones (qué contiene) y alcance y límites (lo que el informe no afirma).

La sección que se lee primero es la última. Si el informe dice que no se ejecutó la muestra, ninguna frase de «comportamiento» que aparezca antes debe leerse como observada. Y si dice que la familia o la autoría no están determinadas, cualquier nombre de familia que aparezca en la reputación es una etiqueta de otros, no una conclusión.

La reputación de una huella viene de preguntar a decenas de motores de detección independientes. El resultado se resume en tres números: cuántos marcan el archivo, cuántos no detectan nada y cuántos no pudieron concluir. Los tres suman el total consultado, y los tres hacen falta: «la mayoría no lo marca» y «unos cuantos sí lo marcan» son la misma foto con distinto titular.

Una consulta por huella no envía el archivo, solo su resumen. Es la forma que prevén las normas de manejo para preguntar fuera sin sacar la muestra de casa.

Abre triaje-MT-1301.txt y motores-externos.txt.

Las cadenas legibles son las secuencias de texto que se pueden leer en el archivo sin ejecutarlo: nombres de campos, direcciones, nombres de funciones. Son una pista de lo que el archivo contiene, no una prueba de lo que hace: una dirección puede ser un destino real, un señuelo o un resto de otra cosa. Lo que sí hacen es dar cosas que buscar: en el correo, en el servidor de nombres, en el resto de la cola.

El informe separa las cadenas «de interés» de las demás. Esa selección la hace una herramienta con reglas fijas, y es fiable como punto de partida y insuficiente como conclusión.

La lectura crítica de una reputación evita dos errores simétricos. El primero es leer «9 de 72» como «el 12 % es sospechoso, el 88 % dice que está bien»: los motores no votan, cada uno mira cosas distintas y muchos ni lo ven por ser nuevo. El segundo es fijarse en la etiqueta más específica de las tres que dan los motores y llamar a eso la familia: los nombres no coinciden entre fabricantes y varias son genéricas a propósito.

Lo que sí se puede leer: un archivo visto por primera vez hoy, sin entrada en el catálogo y marcado por algunos motores, no está resuelto. Se prioriza según la política y se analiza sin dar por hecho ni su familia ni su autor.

Cada informe serio declara su alcance: con qué método se hizo y qué no se hizo. Es la frase que más se salta y la que más protege al lector, porque marca el techo de lo que el documento puede sostener. Quien cita el informe en un ticket o en un correo cita también ese límite.

Ahora lee la sección final del informe de MT-1301 con la misma atención que las cifras.