Red, mutex y comandos, lo que la muestra dice y hace

Para que el análisis no toque ninguna red real, el entorno suele cerrar la salida a internet y conectar la máquina a un simulador que contesta a cualquier consulta con datos sintéticos. Eso tiene una consecuencia para la lectura: el informe sí prueba que la muestra pidió un nombre o una ruta, y que lo hizo con determinado programa y a determinada hora; no prueba qué habría contestado el servidor real.

Por eso se escribe «el programa pide una configuración» (observado) y no «descarga la configuración del atacante» (no se sabe). La conducta es real; el contenido de la respuesta es del simulador.

La sección DNS lista todos los nombres que se resolvieron durante la captura, y cada línea trae el PID de quien preguntó. La imagen base consulta por su cuenta servidores de actualización y de hora; la muestra consulta lo suyo. Si copias todos los nombres a la ficha de indicadores, bloqueas servicios que la empresa usa a diario.

El filtro es mirar el PID: el de un proceso de la rama de la muestra cuenta; el de un servicio del sistema no. Abre red.txt.

Hay una diferencia entre una petición puntual y una conexión que se repite a intervalos fijos con el mismo destino. Lo primero puede ser una consulta de arranque; lo segundo se parece a un programa que se mantiene en contacto con un servidor. El intervalo no viene escrito en el informe: sale de restar las horas de dos conexiones consecutivas.

Es un dato útil para una regla de detección (una conexión cada tantos segundos a un mismo destino), y se redacta como observación, no como intención: «conecta cuatro veces, a intervalos regulares, y envía la misma cantidad cada vez», sin añadir «para recibir órdenes».

Un mutex (exclusión mutua) es un objeto con nombre que un programa crea en memoria para señalar «ya estoy en marcha». Los programas legítimos lo usan para no abrir dos copias de sí mismos, y el software dañino también. Que el nombre sea fijo lo convierte en un buen indicador para buscar en otros equipos o en otros informes.

En el informe aparece en la sección de marcas en memoria, con el proceso que lo creó. Abre marcas-y-comandos.txt. El nombre completo incluye un prefijo de ámbito; el indicador útil es el nombre que va detrás.

Lo que un mutex prueba es que algún programa creó un objeto con ese nombre durante la captura. Lo que no prueba es para qué. La explicación más sencilla («evita ejecutarse dos veces») es una inferencia razonable, y como tal se escribe, con «sugiere», sin darla por demostrada.