Grupos y software: qué dicen y qué no dicen

Una ficha de grupo reúne bajo un nombre la actividad que varios informes atribuyeron a un mismo actor: sus alias, las técnicas que se le citan y el software que se le asocia, cada cosa con sus fuentes. La ficha es tan buena como esas fuentes y se actualiza cuando salen informes nuevos.

Que una técnica no aparezca en la ficha de un grupo no dice que no la use: dice que ningún informe usado por el catálogo la atribuyó. Y que aparezca dice que alguien la reportó en algún caso, no que vaya a ocurrir en tu red.

El software es otra ficha: malware (código pensado para uso malicioso) o herramienta, que puede ser una utilidad del propio sistema operativo o software comercial y público. Una herramienta legítima aparece en las fichas de muchos grupos porque la tienen todos los equipos. Citarla une a los grupos por lo corriente, no por lo propio.

En la consola, la tabla software_citado dice qué grupo cita qué.

Los grupos tienen varios nombres porque cada vendedor, gobierno o equipo de investigación pone el suyo. La ficha del catálogo reúne alias, pero la coincidencia de nombres no siempre es una identidad: a veces dos fichas comparten un alias porque dos investigaciones distintas lo usaron, y hay que revisar de dónde viene cada uno antes de fundirlas.

Abre fichas_de_grupo y compara la columna alias de las tres fichas.

El tamaño de una ficha mide cuánto se ha escrito de un grupo, no cuánto hace. Un grupo con mucha cobertura mediática parece más capaz y uno poco reportado parece más simple; lo que cambia es la visibilidad. Antes de comparar dos fichas conviene contar qué cita cada una.

La tabla tecnicas_citadas tiene una fila por técnica citada. Cuenta las del grupo Lienzo (GRP-C).

Curaco encontró una tarea programada rara en un servidor y la herramienta del sistema que la creó. La analista nueva escribe: «Es el grupo Tinte Rojo». Las tres fichas citan esa herramienta y esa técnica.