Programas no deseados y herramientas de doble uso

Entre el software legítimo y el malware hay una franja que los fabricantes llaman programas potencialmente no deseados: barras del navegador, programas que cambian el buscador o la página de inicio, que muestran publicidad o que recogen datos de uso. Suelen llegar empaquetados con otro programa gratuito, con una casilla premarcada en el instalador. El motivo de separarlos del malware es que hay un consentimiento formal, aunque sea confuso, y no hay un engaño grave ni un daño directo.

Esa franja no significa «inofensivo»: ocupan recursos, exponen datos y a veces son la puerta por la que entra otra pieza. Pero tampoco son un incidente por sí solos. Lo normal es desinstalarlos, registrar el equipo y revisar cómo llegaron. En el vocabulario de tipos que verás al final del módulo, el que solo muestra publicidad tiene su propio valor (adware).

Una herramienta de doble uso es software legítimo que sirve igual para administrar que para atacar: acceso remoto, recuperación de claves, escáneres de red, utilidades que leen la memoria de un proceso. El archivo es el mismo en las dos manos; lo que cambia es quién la instaló, con qué autorización y qué hizo. Por eso el veredicto no sale del binario, sale del contexto.

Abre el laboratorio y lee las detecciones y las autorizaciones:

cat detecciones.csv
cat solicitudes-de-cambio.csv

Una autorización tiene alcance: un programa, un equipo y un periodo. Fuera de ese periodo la herramienta vuelve a estar sin respaldo, aunque la haya instalado el propio equipo de TI. Leer la política es tan importante como leer la detección:

cat politica-de-software.txt

La categoría que pone el motor no siempre es la correcta. Un caso frecuente es el software de seguridad falso: programas que se presentan como antivirus u optimizadores, inventan amenazas o errores y piden pagar para «limpiarlos». No es un programa no deseado más, porque su modelo es el engaño, y el vocabulario de tipos que verás al final del módulo le da un valor propio. Si el motor lo puso en la franja de no deseados, el analista corrige la etiqueta con lo que se observó.

La política del colegio tiene tres reglas: lo no deseado se desinstala, lo de doble uso solo se permite con autorización vigente en ese equipo y esa fecha, y todo lo demás es incidente aunque el antivirus lo haya llamado de otra forma. Aplicar la política a cada fila, sin saltarse ninguna, es lo que convierte una lista de detecciones en una lista de decisiones.