Artefactos de red y de sistema de archivos

Un informe produce artefactos de muchas clases: huellas de archivos, direcciones, dominios, rutas de URL, agentes de usuario, nombres de carpetas, de tareas y de valores del registro. No todos aguantan igual. La pirámide del dolor, que la ruta ya usa, los ordena por lo que le cuesta al adversario cambiarlos: una huella cambia con recompilar, una dirección o un dominio se cambian en minutos, y los rasgos de cómo trabaja su herramienta (cómo habla con su servidor, dónde se instala, cómo se queda) exigen tocar la herramienta.

Para la inteligencia táctica la consecuencia es práctica: lo que cambia por muestra se comparte con fecha de caducidad; lo que se repite entre muestras es lo que sostiene una detección.

Abre cat red-RC-4011.txt y cat red-RC-4013.txt. Las dos muestras descargan una biblioteca y después envían peticiones periódicas a un servidor. Los dominios y las direcciones no coinciden entre informes, y la descarga de RC-4013 ni siquiera sale de un dominio del adversario. Pero en las peticiones periódicas hay piezas que se repiten letra por letra.

Fíjate en la parte de la URL que va después del dominio.

Ahora los archivos: cat archivos-RC-4011.txt y cat archivos-RC-4013.txt. El guion temporal y la biblioteca cambian de nombre de una muestra a otra, y el tamaño también. La carpeta donde se instala la biblioteca, en cambio, es la misma, y también aparece en la línea de comando de rundll32.exe y, en RC-4013, en el valor del registro.

Con los dos informes delante, el equipo tiene que separar lo que describe a la familia de lo que describe a una muestra. La primera lista va a la nota de detección; la segunda va a un anexo que caduca.