Una actualización con un comportamiento nuevo

Para decir que algo es nuevo hace falta una referencia de cómo era antes. Un programa legítimo tiene un comportamiento de red conocido: a qué dominios llama, con qué frecuencia y qué procesos lanza. Una versión nueva puede añadir cosas legítimas, pero cada una debe poder explicarse.

Ejecuta SELECT * FROM versiones y SELECT * FROM comportamiento. Compara la versión 8.4.2 con la 8.4.3: quién firma, qué proceso lanza el actualizador y a dónde se conecta.

La hora de la primera conexión al destino nuevo es el dato que ata el comportamiento a una versión y a una instalación. Se busca en el registro del cortafuegos del servidor, que ya viene filtrado a las conexiones del actualizador.

Ejecuta SELECT * FROM conexiones_srv01 y lee la hora de la primera conexión al destino que no es el dominio del proveedor.

Un destino se anota tal como aparece en el registro, sin concluir nada de él todavía. Que sea una dirección sin nombre de dominio es un dato; si es del proveedor, de un tercero o de nadie lo dirá quien tenga más contexto (el propio proveedor, el registro de dominios, la inteligencia de amenazas).

Un programa que se conecta a intervalos idénticos se parece a una tarea programada, no a una persona. El intervalo no dice si es bueno o malo, pero sí que es automático, y sirve para buscarlo en otros equipos y para decirle al proveedor qué debe explicar.

Con las horas de las conexiones al destino nuevo en conexiones_srv01, calcula cada cuántos minutos se repite.