Qué hace un identificador de capacidades y con qué reglas

Un identificador de capacidades es una herramienta de análisis estático que recorre el código de un ejecutable y lo compara con un juego de reglas. Cada regla describe una capacidad con palabras de oficio («escribir un valor de arranque en el registro», «enviar datos por HTTP») y dice qué rasgos deben aparecer en el código para darla por cumplida: llamadas a interfaces del sistema, cadenas, constantes, importaciones o características del código, como un bucle o una operación XOR.

El ejemplo de tipo más conocido es capa, de código abierto, con su juego de reglas comunitario publicado aparte. Muchas reglas traen además la técnica de MITRE ATT&CK o el comportamiento del Malware Behavior Catalog con el que se relacionan, para que la salida ya hable el idioma de los marcos que viste en el módulo 20.

Lo que devuelve es una lista de capacidades cuyas reglas se cumplieron. No dice qué hizo el programa: dice qué piezas de código tiene que encajan con una descripción. La diferencia parece pequeña y es la que ordena todo el módulo.

Una regla no solo pide rasgos: pide que estén juntos en un sitio. Ese sitio es el alcance. De más estrecho a más amplio, en modo estático: una instrucción, un bloque básico (un tramo de código que se recorre de corrido, sin saltos en medio), una función y el archivo entero.

Cuanto más estrecho el alcance, más dice la coincidencia. Dos rasgos en el mismo bloque básico trabajan juntos casi con seguridad; dos rasgos sueltos en cualquier rincón del archivo pueden pertenecer a piezas que no se tocan nunca. Algunas herramientas tienen además un modo dinámico, con alcances como la llamada o el proceso, que se aplica sobre el informe de una corrida ya registrada; la salida de esta muestra no lo usó.

Abre el laboratorio y consulta las reglas que tocaron M-3418 y la tabla de alcances.

En un juego de reglas hay piezas que no describen una capacidad por sí mismas, sino una ayuda que otras reglas reutilizan: «hay un bucle con contador», «esta función parece de una biblioteca conocida». Se llaman reglas de biblioteca y, por defecto, la herramienta no las muestra en el resultado aunque se cumplan. Solo aparecen como parte de la evidencia de la regla que las usa.

Conviene saberlo para no buscar en el resumen algo que nunca va a salir ahí, y para entender por qué el detalle de una coincidencia menciona a veces una regla que no figura en la lista de capacidades.

El juego de reglas cambia: se añaden reglas, se corrigen las que daban falsos positivos y se retiran las que no servían. La misma muestra, pasada con dos versiones distintas, puede dar listas distintas. Por eso una salida de capacidades sin la versión de sus reglas no se puede repetir ni discutir, igual que una consulta de reputación sin su fecha.

En el informe, la versión va en la nota de método junto con el modo (estático o dinámico) y la fecha en que se generó la salida.