Límites: lo que un informe automático no demuestra

El entorno observa durante un tiempo fijo. Si una muestra espera más que ese tiempo antes de actuar, el informe solo registra la espera; ATT&CK documenta esas comprobaciones de tiempo como una subtécnica de evasión de entornos virtuales y de análisis (T1497.003). También puede no hacer nada porque le falta algo: un programa de la imagen, un idioma del sistema, una respuesta de su servidor. La ausencia de actividad es un dato sobre la ejecución, no un veredicto sobre la muestra.

Consulta SELECT * FROM borrador y SELECT * FROM hechos, y mira lo que se sabe de RC-4015.

Una afirmación del boletín se sostiene si cada parte se puede señalar en un informe y si no dice más de lo que el informe vio. Las palabras que delatan el exceso son conocidas: «atacó a», «con certeza», «ya no», «obra de». La frase buena suele ser más larga y más aburrida, porque lleva sus condiciones dentro: dónde se vio, en qué informe y bajo qué configuración.

Cuando la red está simulada, una descarga recibe un archivo de relleno en lugar de la biblioteca real, y la cadena se corta: el siguiente paso falla y no llega a pedir nada a su servidor de mando. Ese corte lo produjo el laboratorio. Una afirmación que lo lea como un cambio en la familia confunde el entorno con el adversario.

La primera afirmación del borrador habla de un ataque a Chiscas. Los informes describen muestras que llegaron por el repositorio de la mesa del sector, y ninguno nombra a un grupo. Esa frase no se tacha sin más: se reescribe para decir lo que se sabe y lo que se va a comprobar.