Nombres genéricos y heurísticos leídos con cautela

Dentro de un informe multimotor conviven tres clases de nombres. Los que nombran una familia concreta, con su variante. Los genéricos y heurísticos, que dicen «se parece a algo malo» o «se comporta de forma sospechosa» sin nombrar nada. Y los de clasificadores por modelo, cada vez más frecuentes, que acompañan su veredicto con una cifra.

Esa cifra es la puntuación interna de ese producto, calculada con su propio modelo y su propia escala. No es una probabilidad que se pueda comparar con la de otro motor, ni mucho menos sumar.

Abre el laboratorio y ejecuta SELECT * FROM detecciones_sq13.

Descarta primero lo que no nombra nada: palabras como genérico, heurístico, sospechoso, agente o riesgo, los veredictos de modelo y los nombres que describen el contenedor («un comprimido que lleva un acceso directo») en lugar del contenido. Lo que queda son candidatos a familia, y aun así cada fabricante la escribe a su manera: con plataforma delante, con variante detrás, con un sufijo genérico. Hay que reconocer la misma palabra bajo formatos distintos.

Ejecuta SELECT * FROM nucleos. Algunos fabricantes venden su motor de análisis a otros, que lo ponen bajo su propia marca. En el informe aparecen como dos detecciones, a menudo con el mismo nombre letra por letra, pero son una sola opinión repetida. Contarlas como dos infla el recuento y, peor, da la impresión de que dos laboratorios distintos llegaron a la misma conclusión.

La mesa de Síquima mantiene una tabla con lo que publica cada fabricante sobre su núcleo. No es perfecta ni completa, y por eso lleva su fecha de revisión.

Una familia nombrada por varios motores independientes es una hipótesis con apoyo, no una conclusión. Los motores pueden copiarse entre sí los nombres que ven en otros informes, y una detección de familia a veces dispara por una pieza compartida con otras familias. El informe la escribe como lo que es y dice qué falta para confirmarla: comportamiento, configuración o código compartido con muestras ya atribuidas.

Tampoco se tira lo demás: los genéricos y los heurísticos siguen diciendo que el archivo es sospechoso, y el de Nacedero recuerda que hay motores que marcan herramientas y programas no deseados además de malware.