Indicadores: el hash caduca, la conducta no

Un indicador es un dato observable que se puede buscar: la huella exacta de un archivo (su hash), la dirección con la que habló el equipo, el dominio que resolvió antes de conectarse, el nombre del archivo que quedó escrito, el mutex —una marca que el programa deja en memoria para comprobar si ya se está ejecutando en esa máquina— y la clave de registro donde guarda su configuración y su arranque. Todos valen para buscar. Ninguno dura lo mismo.

Lo que decide esa duración es lo que le cuesta al atacante cambiarlo, y el oficio lo ordena en una pirámide. En la base, lo que se cambia sin pensar: recompilar da otro hash, alquilar otro servidor da otra dirección. En el medio, los artefactos de la herramienta —nombre, clave, mutex—, que obligan a tocar el instalador y a publicar una versión nueva. Arriba del todo, la conducta: la forma de operar, que no se cambia sin rehacer el trabajo entero. Cuanto más arriba busques, más le dura la molestia a quien ataca; cuanto más abajo, antes se te queda ciega la búsqueda.

El informe que llegó esta mañana no viene de dentro: lo publica la comunidad del sector, con lo que otras empresas vieron de la misma campaña. Trae siete valores y, al lado de cada uno, cuándo se vio por última vez y dónde se busca. Esa segunda columna es la que hace el trabajo: dos de los hashes son de julio y agosto, la dirección lleva dos meses sin responder, y los tres artefactos de la herramienta se vieron hace una semana. Un informe no se «aplica»: se lee valor por valor y se decide qué hacer con cada uno.

De los tres vigentes, hay uno que no está en el disco. La marca en memoria solo existe mientras el programa corre, así que no se busca en el inventario de archivos sino en la telemetría de procesos, y por eso se escapa de los barridos que solo miran el disco. Abre el informe y quédate con ese valor.

«Buscar un indicador en el parque» no es una frase: es preguntarle a la fuente que lo habría guardado, con una ventana de tiempo. Cada tipo tiene la suya —el hash y el nombre, en el inventario de archivos; la dirección, en el proxy y el cortafuegos; el dominio, en el DNS; la marca en memoria, en la telemetría de procesos; la clave, en la de registro— y la búsqueda alcanza hasta donde llegue la retención de esa fuente. En Delta Cargo son noventa días, y eso es parte de la respuesta: «no apareció» quiere decir «no apareció en noventa días», no «nunca pasó».

Lanzado el barrido, los cuatro indicadores caducados no coinciden en ningún equipo y los tres vigentes sí. Uno de ellos es el dominio, y su coincidencia es la huella más temprana de todo el caso: un equipo preguntó por ese nombre minutos antes de que apareciera nada en su disco. Ese equipo es por donde empieza la reconstrucción.

Queda decidir qué pasa con los cuatro valores que ya no sirven, y la respuesta no es tirarlos. Cargarlos en el bloqueo cuesta un minuto y no molesta a nadie: si alguna vez vuelven a aparecer, se cortan solos. Buscarlos hacia atrás tampoco sobra, porque la retención de noventa días llega más lejos que la última vez que alguien los vio. Lo que no se puede hacer es montar la vigilancia sobre ellos y quedarse tranquilo: un hash de julio no va a volver a coincidir, y la sensación de estar cubierto es peor que no tener nada.

Y una nota de cómo circulan estos valores entre empresas. Un informe en PDF lo lee una persona y lo teclea a mano; para que lo ingiera una defensa sin que nadie copie nada existe STIX, un formato estructurado en el que los indicadores viajan descritos de forma que una máquina los entiende. Lo que cambia no es el contenido, es quién lo lee.

El barrido devolvió dos equipos, y no cuentan la misma historia. En uno la secuencia arranca con la consulta al dominio. En el otro no hay ninguna consulta a ese nombre: el archivo, la clave y la marca en memoria aparecen diez horas después, en horario de oficina, sin que nadie preguntara por el dominio. Para el escalado eso vale más que el número de coincidencias, porque son dos caminos de entrada distintos. Quédate con el nombre de ese segundo equipo.