Microcomportamientos: lo que no es malicioso por sí solo

Un microcomportamiento describe una operación de bajo nivel que da soporte a un comportamiento: comunicarse por HTTP, crear un mutex, codificar datos, escribir en el registro, escribir en la memoria de otro proceso. El catálogo los agrupa en micro-objetivos (comunicación, criptografía, datos, sistema de archivos, hardware, memoria, procesos y sistema operativo) y les da identificadores con C; los micro-objetivos llevan OC.

Su valor está en la precisión: dicen cómo hace la muestra lo que hace, y eso ayuda a escribir reglas y a comparar variantes. Su límite también es claro: casi todos aparecen en programas legítimos. Un microcomportamiento cuenta como pista cuando es raro en la casa o cuando se combina con otros que, juntos, solo tienen sentido en una muestra.

La forma práctica de saber si un microcomportamiento distingue algo es medirlo contra lo normal. TI de Tacarigua sacó los informes de entorno aislado de los 40 programas de la imagen corporativa y contó cuántos muestran cada uno. Lo que comparten casi todos no sirve para separar; lo que casi nadie hace, sí.

Abre el laboratorio, cruza micro_htg con inventario_sano y busca el de menor presencia.

El borrador apoya su conclusión en la comunicación por HTTP. Antes de discutirlo conviene ponerle número: cuántos de los programas sanos de la casa hacen lo mismo. Un porcentaje se entiende mejor que un recuento cuando el informe lo lee alguien que no conoce el tamaño del inventario.

El párrafo 3 del borrador dice que la muestra es maliciosa por tres microcomportamientos. Con el inventario delante, los tres son comunes en la casa: el párrafo acusa con pruebas que también acusarían al cliente del ERP. La conclusión puede ser correcta, pero tiene que apoyarse en otra cosa: en los comportamientos (arranque en la clave Run, escritura en otro proceso, comunicación regular con un servidor externo) y en el microcomportamiento raro, con los comunes como detalle.