Archivos extraídos y sus huellas

La huella de un archivo es un resumen de longitud fija calculado a partir de su contenido. Dos archivos con exactamente los mismos bytes dan la misma huella; si cambia un solo byte, la huella cambia por completo. Por eso sirve para reconocer el mismo archivo aunque lo renombren o lo copien a otro equipo, y por eso no dice nada de su peligro: es una identidad, no un veredicto.

Hoy se usa SHA-256 porque MD5 y SHA-1 tienen colisiones demostradas, es decir, se pueden fabricar dos archivos distintos con la misma huella. En este laboratorio las huellas son marcadores del estilo HUELLA-ARCH-NN, escritos a mano, para que leas la lógica sin cadenas largas.

El nombre de un archivo lo escribe quien lo envía, y la extensión no obliga a nada. El sensor, en cambio, mira los primeros bytes del archivo y deduce su tipo real. Cuando el nombre dice una cosa y el tipo real otra, hay un hallazgo: un documento que en realidad es un ejecutable es una de las señales más viejas y más fiables de un archivo que quiere hacerse pasar por lo que no es.

En la tabla de archivos del sensor hay varias filas. La mayoría coincide: un JSON es un JSON, una hoja de cálculo es una hoja de cálculo. Busca la que no.

La huella permite hacer la pregunta que más importa en un incidente: ¿dónde más está? Si buscas la misma huella en todo el registro, aparecen todos los lugares por los que pasó el archivo, con el nombre que fuera. El mismo archivo en tres direcciones internas cuenta una historia de propagación muy distinta a uno que solo estuvo en una.

Hay que contar direcciones distintas, tanto de quien envía como de quien recibe, y sin repetir: un equipo que aparece dos veces es un equipo.

Una consulta de reputación manda solo la huella a un servicio que ya vio muchos archivos y devuelve cuántos motores la marcan. Es una ayuda, no una sentencia. Si ningún motor la conoce, puede ser un archivo nuevo, no uno limpio. Si pocos la marcan con un nombre genérico, puede ser una detección por parecido, y los parecidos también se equivocan.

La tabla de reputación trae dos filas con resultados muy distintos. Lo que corresponde es decir en el informe exactamente lo que el dato permite y señalar qué otra evidencia lo reforzaría o lo descartaría.

Un archivo extraído de una captura es evidencia y es también un riesgo: no se sabe qué hace. El trabajo del analista de red es leer lo que el sensor ya anotó —nombre, tipo real, tamaño, huella, quién lo envió y a quién— y apoyarse en tablas de huellas conocidas y en reputación. Si hace falta abrirlo, eso lo decide el equipo de análisis de muestras en un entorno aislado con autorización, no quien lee la captura.

Cambiarle la extensión no lo vuelve seguro: el sistema decide cómo tratarlo por lo que el archivo es, no por cómo se llama.