Cazar el canal de mando escondido

La técnica dice que el adversario usa un protocolo de capa de aplicación —normalmente web— para comunicarse con el equipo comprometido y esconderse en el ruido. La hipótesis la concreta sobre la conducta: «si hay un canal de mando activo, alguna máquina se conecta a un mismo destino externo a intervalos casi idénticos, con envíos de tamaño parecido, sostenidos durante horas». Eso apunta a los metadatos de conexión de Zeek (quién, con quién, cuándo, cuánto) y define la huella: la regularidad, no el contenido, que está cifrado y no se puede leer.

Lo que hace cazable al canal es precisamente lo que lo delata: para recibir órdenes a tiempo, el malware tiene que llamar a casa con cierta frecuencia, y esa frecuencia es un ritmo que una persona no genera. El cifrado protege el mensaje, pero no esconde el patrón de las llamadas.

Lo que separa el canal de mando del tráfico web legítimo es la máquina que hay detrás. Una persona navega a saltos: entra a un sitio, lee, se va a otro, hace una pausa, vuelve —irregular, a destinos variados, con volúmenes dispares—. Un programa que llama a casa lo hace metronómico: el mismo destino, cada cierto número de segundos casi exacto, con envíos de tamaño constante, sin pausas para comer ni fines de semana. El cazador busca ese ritmo de máquina en un mar de tráfico de personas.

El error a evitar es cazar «cualquier conexión a un destino externo», que describe la navegación de toda la empresa. La huella no es conectarse fuera —eso lo hacen todos— sino hacerlo con la regularidad inhumana de un reloj.

El adversario sabe que bloquear su destino es fácil, así que lo cambia a menudo: la IP o el dominio del canal de mando puede ser otro cada día. Cazar por el destino concreto de hoy es una carrera perdida —mañana caduca—. La caza durable se apoya en lo que al adversario le cuesta cambiar: el comportamiento del latido. Aunque mude de servidor, el malware sigue llamando con su ritmo, porque el ritmo es parte de cómo está programado. Por eso la hipótesis se escribe sobre la conducta y no sobre la dirección.

Es la idea de la pirámide del dolor aplicada a la red: detectar sobre la IP le cuesta al adversario un cambio trivial; detectar sobre el ritmo del beacon le cuesta rediseñar su herramienta. Se gasta el esfuerzo de caza donde más le duele cambiar.

No todo lo que late es malicioso. Muchos programas legítimos llaman a casa con regularidad: un agente de gestión que reporta su estado cada minuto, un cliente que sincroniza, un servicio que comprueba actualizaciones. Antes de escalar un beacon, el cazador confirma que no corresponde a uno de esos: mira qué proceso abre la conexión, si el destino pertenece a un proveedor conocido, y si esa máquina tiene una razón legítima para ese diálogo. Un latido regular es una pista, no un veredicto.

Saltarse este paso llena la caza de falsos positivos y quema la credibilidad del cazador. La confirmación es cruzar el latido de la red (Zeek) con el proceso del punto final (Sysmon) que lo abrió: si es el agente de gestión conocido, es benigno; si es un intérprete lanzado desde una carpeta de usuario, la hipótesis se sostiene.

Abre el laboratorio de los metadatos de conexión. El contenido va cifrado, así que cazas por el ritmo: una máquina que llama al mismo destino externo a intervalos casi idénticos, con envíos de tamaño constante, sostenida en el tiempo. Hay dos latidos; uno es el agente de gestión legítimo y el otro, abierto por un intérprete, es el canal de mando. Sepáralos por el proceso que abre la conexión. La anotación sobre el latido malicioso lleva el código de la sala.