El nombre prestado y el binario de la casa

El nombre de un proceso es el nombre del archivo que se ejecutó, y un archivo se llama como quien lo escribe quiera. Por eso hay una regla que se aplica sola en cuanto la interiorizas: los procesos del sistema viven en las carpetas del sistema. Un proceso de servicios que corre desde System32 y cuelga del gestor de servicios es rutina; uno con ese mismo nombre corriendo desde una carpeta del perfil de una persona, sin firma y colgando de un intérprete, no es el proceso del sistema: es otro programa vestido con su nombre.

Lo mismo vale para la firma: los binarios del sistema están firmados por el fabricante, y esa firma se comprueba. No prueba que algo sea inofensivo —ya verás por qué en un momento—, pero su ausencia en un nombre que debería tenerla es una contradicción que alguien tiene que explicar.

Abre el laboratorio y compara las tres filas que comparten nombre.

En la tabla hay tres procesos con el mismo nombre. Dos están donde deben estar, firmados, y los lanzó el gestor de servicios. El tercero no cumple ninguna de las tres cosas.

Encuéntralo y escribe su número de proceso.

Hay una familia de técnicas que vive de no traer nada: en vez de instalar una herramienta propia —que un antivirus podría reconocer y que deja un archivo nuevo en el disco—, se usan programas que ya vienen con el sistema para hacer el trabajo. Se los llama LOLBins, por living off the land: vivir de lo que hay en el terreno. Un binario del sistema que descarga un archivo de internet, otro que ejecuta contenido desde un archivo temporal, un instalador que corre un módulo ajeno. Todos firmados, todos legítimos, todos usados a diario para cosas normales.

Para la defensa eso significa que el indicador no puede ser el programa: tiene que ser el argumento, el padre y el destino. El agente lo da masticado, porque atribuye cada conexión al proceso que la abrió.

Mira la red por proceso y escribe a dónde salió el binario del sistema que trajo un archivo.

Esta es la parte que confunde a mucha gente que empieza, y conviene dejarla dicha antes de pasar a las detecciones.