Qué roba un ladrón de credenciales

Un ladrón de credenciales es un programa que recorre el equipo buscando datos que valen dinero: claves guardadas en el navegador, cookies de sesión, datos de tarjetas, cuentas de correo, perfiles de conexión y archivos con nombres reveladores. No destruye nada ni se queda a vivir: entra, recolecta, junta lo recolectado, lo envía y muchas veces termina solo. Por eso el daño casi nunca está en el equipo; está en las cuentas que ese equipo guardaba.

Eso cambia la primera pregunta del análisis. No es «de qué familia es» sino qué datos tocó y por dónde salieron. El nombre de la familia ayuda a buscar más informes; los datos tocados deciden qué se rota y a quién se avisa.

Un ladrón no manda cada dato en cuanto lo encuentra. Lo junta en un archivo temporal y lo envía de una vez, porque así hace menos ruido en la red. Ese archivo es un rastro valioso: su nombre sirve de indicador y su tamaño se puede comparar más adelante con lo que salió por la red.

Lee accesos.csv. La columna tipo distingue lo que el programa solo leyó o consultó de lo que escribió. Un ladrón escribe muy poco: casi todo lo que hace es leer.

Lo que se pierde se cuenta por categorías de datos, no por programas ni por archivos. Dos navegadores distintos que guardan claves son una sola categoría: credenciales del navegador. Contar categorías permite decirle a la dirección «se perdieron claves, cookies, tarjetas y correo» en vez de una lista de rutas que nadie entiende.

Cada fila de accesos.csv lleva su categoría. Una de ellas no es un dato robado sino el paso de preparar la salida, y no se cuenta como dato perdido.

Un informe de análisis tiene dos fuentes que no dicen lo mismo. El análisis estático mira el programa sin correrlo y dice lo que puede hacer, por sus importaciones y sus cadenas. El entorno aislado lo corre una vez y dice lo que hizo en esa corrida. Una capacidad estática que no se observó no queda descartada, pero tampoco confirmada: puede depender de una condición que la corrida no cumplió.

Lee resumen-estatico.txt. La última columna compara las dos fuentes capacidad por capacidad.

El informe que sale de esta evidencia separa lo observado, lo inferido y lo pendiente. La capacidad de la tarea anterior no es observada, es inferida, y por eso se redacta con verbo de posibilidad y con su límite. Escribir que la muestra hizo algo que solo se sabe que puede hacer es un error que luego se paga: alguien rota cuentas por un robo que no ocurrió, o se descarta una amenaza porque el informe no la mencionaba.