Regiones con código y sin archivo

La memoria de un proceso se divide en regiones con permisos. Lo habitual para código es «leer y ejecutar», y para datos «leer y escribir». Una región que a la vez se puede escribir y ejecutar, y que además es privada (no está respaldada por ningún archivo del disco), es una región donde algo pudo escribir código y luego correrlo. Es lo que busca el plugin malfind.

Que una región cumpla esto no la convierte en malware: es una condición para mirarla, no un veredicto.

Cada entrada de malfind trae la dirección de inicio de la región, su tamaño y los primeros bytes. Esa dirección es el ancla para el resto del análisis: las cadenas se extraen de ella, y es la misma que ldrmodules mostró sin archivo asociado. Cuando dos plugins distintos apuntan a la misma dirección, el hallazgo se refuerza.

Abre malfind.txt y mira la entrada del proceso que no encajaba en la lista de procesos.

La segunda entrada de la salida es el cliente del sistema de pedidos de la empresa. Su región también se puede escribir y ejecutar, pero sus primeros bytes no tienen la cabecera de un ejecutable, y el inventario dice que es una aplicación gestionada que genera código en memoria mientras corre. Los entornos que compilan al vuelo (navegadores, máquinas virtuales de lenguajes) son la fuente más común de falsos positivos de esta salida.

Descartarlo exige dos cosas, no una: que el contexto lo explique y que no haya otros hallazgos que lo contradigan.

Las cadenas de una región con un ejecutable sin archivo suelen contener la configuración con la que funciona. Una de ellas es el servidor con el que habla, y es el segundo indicador de red del caso, junto con la dirección de la sala anterior: la dirección puede cambiar, el nombre suele durar más.

Abre region-cadenas.txt.

Entre las cadenas hay un valor numérico que cuadra con lo que ya midió la salida de red: el intervalo de consulta. En memoria se lee en segundos. Que dos fuentes distintas, la configuración de la región y las horas de las conexiones, cuenten lo mismo es lo que convierte una sospecha en un hallazgo.