Reglas YARA leídas desde la defensa

Una regla de este motor tiene dos partes y hay que leerlas juntas. Las cadenas son trozos de texto o de bytes que el motor busca dentro del archivo —o dentro de la memoria de un proceso, que también se puede recorrer—. La condición dice cuántas de esas cadenas, y con qué requisitos extra (tamaño, posición, formato del archivo), hacen que el archivo cuente como coincidencia. Nada más: una regla no ejecuta el archivo, no lo entiende y no sabe qué hace. Afirma que ahí dentro están estas cosas a la vez.

De ahí sale todo lo demás. Una regla que exige tres cadenas propias de una familia —su marca en memoria, el nombre de su clave, un fragmento de su configuración— describe a esa familia y a casi nadie más. Una que busca una sola cadena común describe a cualquiera que la use, que suele incluir a media empresa. Y como la búsqueda es de contenido, un dato que no esté escrito dentro del archivo no se puede poner en una regla por mucho que sea un buen indicador.

En el motor de Delta Cargo hay cuatro reglas y esta mañana dispararon cinco veces. Dos de esas cinco son el archivo del barrido, uno en cada puesto, y las dos las disparó la misma regla: la que pide tres cadenas de la herramienta a la vez y además que el archivo sea pequeño. Esa conjunción es lo que la hace precisa —es muy difícil que un programa cualquiera tenga las tres— y también lo que la volverá frágil el día que la campaña cambie una de ellas. Precisión y fragilidad son la misma propiedad mirada desde dos lados.

Abre la tabla de coincidencias y quédate con el nombre de la regla que confirmó el archivo en los dos puestos.

Las otras tres coincidencias de la mañana no son errores del motor: el motor hizo exactamente lo que la regla le pidió. Una busca un fragmento de texto que usa cualquier script que decodifique datos, y los administradores de sistemas lo escriben a diario; en treinta días disparó noventa y cuatro veces y acertó cinco. Otra busca la cabecera de un empaquetador que también venden a quien quiera comprarlo, así que marca al instalador de una impresora igual que a la herramienta de la campaña.

Ninguna de las dos está «mal» por descuido: están escritas sobre una técnica en vez de sobre una familia, y una técnica la usa mucha gente legítima. La salida tampoco es borrarlas. Una regla ancha sirve como pista para mirar a mano —por eso está en modo informe y no aparta archivos—, y se estrecha añadiéndole cadenas propias de la familia o condiciones que el uso legítimo no cumple.

De las cuatro reglas del motor hay una que nunca disparó, y no por suerte. Alguien del turno quiso convertir en regla un indicador del informe que no es de contenido: el nombre con el que el archivo queda guardado. Ese nombre lo pone el sistema de archivos, no viaja escrito dentro del archivo, y por eso el motor no lo puede encontrar jamás. Sigue siendo un indicador excelente —se busca en el inventario de archivos, como hiciste ayer—, pero en el sitio equivocado no vigila nada y deja la sensación de que sí. Quédate con su nombre.