Primera vez visto, envíos y relaciones

«Primera vez visto» es el momento en que ese servicio recibió el archivo por primera vez. No es la fecha en que se creó, ni en que se compiló, ni en que empezó a circular: un archivo puede llevar meses en manos de un adversario sin que nadie lo envíe a ningún servicio. Y otro servicio distinto puede tener otra fecha para el mismo archivo.

Aun con ese límite, la fecha dice mucho. Si es anterior a la llegada a tu empresa, otros lo recibieron antes. Si es de hoy y coincide con un envío tuyo, tú eres el primero que lo enseña al mundo.

Abre el laboratorio y ejecuta SELECT * FROM historia y SELECT * FROM llegada_sq15.

Cuidado con las zonas: el servicio escribe en UTC y la pasarela de Síquima en hora de Colombia, cinco horas menos. Para esta pregunta basta con las fechas, pero en un caso real la hora decide a menudo el orden de los hechos.

Los envíos y las fuentes distintas miden cuánto circula un archivo. SQ-15 tiene 41 envíos de 23 fuentes, y SELECT * FROM nombres_de_envio_sq15 enseña que lo subieron con cuatro nombres de señuelo distintos: es una campaña amplia, no algo pensado solo para Síquima.

El extremo contrario es un archivo con un único envío de una única fuente. Si esa fuente eres tú, el archivo no lo había visto nadie más: puede ser algo muy dirigido o, sencillamente, un documento que nunca debió salir de su dueño. Ejecuta SELECT * FROM envios_de_siquima y crúzala con la historia, pasando la hora local a UTC.

Ejecuta SELECT * FROM relaciones_sq15. El servicio arma las relaciones con lo que vio en su propio entorno aislado y con otros envíos: el comprimido que contenía el archivo, lo que descargó, los dominios y direcciones que contactó. Es un punto de partida excelente para buscar en tus registros, pero no es una lista de indicadores lista para bloquear.

Parte de lo que contacta una muestra en el entorno del servicio lo contacta el propio entorno: sincronización de hora, comprobaciones de red, servicios del sistema operativo. La columna visto_en lo delata: lo que aparece en casi todos los análisis del servicio no dice nada de esta muestra.