De la técnica a la detección

NIEBLA SECA cambia la IP de su canal de mando casi cada día. Ánfora puede escribir una regla que bloquee la IP de hoy, o una que detecte el COMPORTAMIENTO del canal: conexiones a intervalos casi idénticos (cada 90 segundos, ±5), del mismo tamaño, sostenidas durante horas —el latido que ningún usuario genera—. La regla de la IP caduca mañana; la del comportamiento sigue disparando aunque el actor mude de servidor, porque el ritmo del beacon es parte de cómo opera y le cuesta cambiarlo.

Es la pirámide del dolor en acción: gastar el esfuerzo de detección arriba (el comportamiento) rinde mucho más que abajo (la IP), donde el adversario te gana siempre por velocidad de cambio.

La persistencia de NIEBLA SECA es una tarea programada (T1053) que en las tres tiendas se llamó RetailSync. Ánfora puede detectar por el nombre literal RetailSync, o por lo que la tarea HACE: una tarea programada que lanza un intérprete de comandos apuntando a un ejecutable en una carpeta temporal del perfil de usuario, algo que casi ninguna tarea legítima hace. El nombre lo cambia el actor en un segundo; el patrón de conducta —tarea que lanza intérprete desde carpeta temporal— es mucho más caro de abandonar.

Detectar por el nombre es útil como red extra, pero frágil solo. La detección que aguanta describe la conducta, no la cadena de texto que el actor eligió esta vez.

Después de entrar, NIEBLA SECA descarga una segunda herramienta desde un sitio de pegado público al puesto comprometido (transferencia de herramientas al objetivo, T1105). La URL exacta cambia en cada intrusión. La detección durable no es esa URL, sino el comportamiento: un puesto de tienda que, minutos después de abrir un adjunto de correo, descarga un ejecutable desde un servicio de pegado —un origen que un puesto de caja no tiene ninguna razón de visitar—. Eso describe la técnica, no el caso concreto.

La regla se escribe sobre «puesto que trae un ejecutable de un origen inusual justo tras un correo», que reconoce la maniobra la próxima vez aunque la URL y el fichero sean otros.

Ánfora escribe una regla para uso de cuentas válidas a horas raras (T1078): avisar cuando una cuenta inicia sesión de madrugada. Al probarla contra los registros de una semana, dispara con el actor… y también cada noche con la cuenta de servicio del respaldo, que corre legítimamente a las 02:00. Una regla que grita cada noche por algo benigno acaba silenciada por el equipo, y entonces no ve tampoco lo malo. Hay que medirla: contar cuántas veces acierta y cuántas molesta, y afinarla —excluir la cuenta de respaldo conocida— hasta que el aviso signifique algo.

Una detección no se da por buena porque dispare con el ataque: se da por buena cuando dispara con el ataque y NO con el ruido de cada noche. Falsos positivos y falsos negativos se miden, no se suponen.

Abre el registro de reglas de detección. Hay una que bloquea la IP de hoy (caduca mañana), otra de horario que dispara cada noche con la cuenta de respaldo legítima, y una que detecta el comportamiento del canal de mando —el ritmo del latido—, medida para disparar con el actor y no con el tráfico benigno. Aísla esa regla de comportamiento y lee su identificador.