Ofuscación común, reconocida al leer

Hay formas que se reconocen a simple vista, sin descifrar nada. Nombres de variable sin significado frente a los nombres claros del script de la empresa. Textos partidos en trozos que se unen con signos de suma. Letras escritas como números de código de carácter. Una cadena larga de aspecto aleatorio que luego se convierte en texto. Y al final, una línea que construye un bloque de texto y lo ejecuta.

Ninguna es maligna por sí sola: hay programadores que ofuscan por proteger su propiedad intelectual. Pero un script que llega por correo, sin firma, y reúne varias a la vez, merece más análisis. Lo importante es la lógica: para ejecutarse, el script tiene que producir el texto final, y ese texto es donde está la evidencia.

En el script recibido el destino de la descarga no aparece escrito completo en ningún sitio: está en trozos que se unen al correr. Leer el trozo y unirlo a mano funciona en un script corto; pero un buscador de texto sobre el archivo nunca lo encontrará, y por eso un indicador basado en el texto del archivo se escapa.

En el registro de bloques, en cambio, el motor guardó el texto ya unido. Ese es el dato que va al informe, con la nota de dónde se obtuvo.

Un script puede decodificar un bloque, que contiene otro bloque codificado, y así varias veces. Cada decodificación es un nivel. Cuantos más niveles, más esfuerzo se dedicó a que no se leyera; pero el número de niveles no dice nada sobre la intención por sí solo. El registro numera los bloques, así que la cuenta está a la vista.

El último bloque muestra el efecto concreto: qué hizo con lo que recibió. Registrar ese efecto es lo útil: un archivo que aparece en la carpeta temporal con ese nombre es un indicador de host que otro equipo puede buscar. Fíjate en lo que el registro dice y en lo que no: el entorno vio que el bloque guarda el archivo, y que no lo ejecutó dentro de la ventana de análisis. Qué haría después no consta.

Un colega propone una regla que busque en los archivos de la empresa el dominio de descarga tal como aparece en el registro. Probada contra el script recibido, no lo encuentra.

El problema es de la fuente: la regla busca un texto que el archivo nunca contiene entero. Una detección útil mira otro sitio: el registro de bloques de script de los equipos, las consultas de nombres de la red, o la forma de armado del texto, que sí está en el archivo.