Qué es una muestra y la regla de no ejecutar

Una muestra es cualquier archivo, enlace o fragmento de memoria que se aparta porque se sospecha que es dañino. Mientras no se demuestre lo contrario se trata como si lo fuera, pero aquí el análisis es siempre defensivo: trabajas con lo que se puede saber del archivo sin hacerlo funcionar, con informes que otras herramientas ya generaron y con fichas ficticias. Nadie te pide, ni en este módulo ni en los siguientes, construir, empaquetar o modificar una muestra, ni evadir una defensa.

La muestra tiene dos riesgos distintos. El primero es para el equipo donde se abre: si funciona, puede dañar datos o moverse por la red. El segundo es para el caso: un archivo que se abrió, se renombró o se movió sin anotarlo pierde valor como evidencia, y nadie podrá demostrar después qué era exactamente lo que se analizó.

Las normas de manejo son cortas y numeradas, para que cualquiera del equipo las cite en un ticket. Leerlas con atención importa: dos normas pueden hablar de la misma muestra y prohibir cosas distintas. Una habla de dónde vive el archivo; otra, de qué se hace con él; otra, de qué se anota. Al revisar un caso se busca la norma concreta que se incumplió, no «las normas» en general.

Abre normas-de-muestras.txt en la carpeta del caso.

Las normas necesitan un sitio donde cumplirse: la estación de triaje. Es un equipo pensado para ser aburrido: sin salida a internet, sin acceso a la red de oficina, con los puertos USB bloqueados, con las muestras en un contenedor cifrado y con una imagen limpia a la que vuelve después de cada caso. «Aislamiento» aquí no es un adjetivo: cada requisito cierra un camino por el que una muestra podría salir o por el que alguien podría llevarse datos de la empresa.

Una estación con un solo requisito sin cumplir es una estación que ya no se puede llamar aislada, así que se revisa cada cierto tiempo contra su lista y se anota la diferencia.

Un compañero propone subir el archivo retenido a un servicio público de análisis «para salir de dudas». Parece inocente, pero el archivo puede contener datos reales de la empresa (un pedido, una dirección, un nombre de cliente) y quien lo recibe lo puede leer, guardar y compartir. Además, el atacante puede enterarse de que alguien lo está mirando.

La alternativa que usan los equipos es consultar por la huella: se calcula un resumen del archivo en la estación y solo ese resumen sale a consultar. Si alguien ya vio el archivo, la huella lo reconoce sin que el archivo salga de casa. Lo veremos en la sala siguiente.