El rastro en casa

Un solo correo puede ser un error; varios con la misma forma, repartidos, son un patrón. Cuenta las agencias distintas, no los correos: dos mensajes a la misma agencia son una agencia.

Las direcciones rotan y los asuntos cambian; lo que cuesta cambiar es la forma de operar. La tabla de tareas muestra una que se repite con el mismo nombre en equipos de agencias distintas, creada por un usuario sin privilegios y no por quien administra los sistemas.

Con la matriz de hipótesis no se busca la que más confirma, sino la que menos evidencia inconsistente acumula: una sola evidencia que choca con una explicación pesa más que cinco que la acompañan. Lee la matriz y cuenta las inconsistencias de cada columna.

El intervalo con el que un equipo se comunica hacia fuera es parte de cómo opera quien lo controla, y se mantiene aunque cambie el destino. En la tabla de red hay dos equipos de agencia con el mismo ritmo y destinos distintos; el tercero es una copia de respaldo con otro ritmo y otro volumen.

Mapear a ATT&CK es dar a cada conducta su nombre de técnica para que otros analistas la reconozcan. En este caso hay tres conductas: el correo con un archivo comprimido que se hace pasar por un peritaje, la tarea programada nueva y el latido periódico hacia un servidor externo. Cada una tiene su nombre en el catálogo de técnicas de ATT&CK; elige el mapeo que no cruza ninguna.