Perfilar un actor

En tres tiendas de Ánfora atacadas en semanas distintas aparecen tres coincidencias: el mismo señuelo de correo (una factura de proveedor falsa, T1566), una tarea programada con el nombre RetailSync que ningún administrador creó (T1053), y un canal de mando que late cada 90 segundos hacia un servicio web (T1071). Las direcciones IP eran distintas en cada caso. Agrupar por lo que se repite —el comportamiento— y no por lo que cambia —las IP— es lo que dice «esto es el mismo actor, o alguien que usa su mismo manual».

Un grupo se reconoce por su modo de operar sostenido en el tiempo. Tres comportamientos idénticos en tres víctimas pesan mucho más que tres IP distintas, que no atan nada.

Para que el perfil sea útil y comparable, cada comportamiento se traduce al lenguaje común de MITRE ATT&CK. El correo de factura falsa que abre la puerta es phishing (T1566). La tarea RetailSync que revive al reinicio es tarea programada como persistencia (T1053). El latido cada 90 segundos hacia un servicio web es protocolo de capa de aplicación como canal de mando (T1071). Mapear no es decorar el informe con códigos: es lo que permite decir «este actor repite estas técnicas» y que otro equipo lo entienda sin leer el caso entero.

El canal de mando que se esconde dentro de tráfico web normal es exactamente lo que describe T1071: usar un protocolo legítimo de aplicación para que el mando pase por bueno.

En una de las muestras del actor aparece un comentario en el código escrito en otro idioma y una marca de zona horaria que apunta a cierta región. Es tentador atribuir el ataque a ese país. Pero un comentario y una zona horaria son de las cosas más fáciles de plantar a propósito: un actor que quiere despistar escribe comentarios en un idioma que no es el suyo y ajusta el reloj. Se llama bandera falsa, y caer en ella es hacerle el trabajo de encubrimiento al adversario. Un artefacto suelto y plantable no sostiene una atribución.

La atribución seria se apoya en un conjunto amplio y difícil de falsificar —infraestructura reutilizada, TTP sostenidas, errores operativos—, no en una pista cómoda que el propio actor pudo dejar para engañar.

Ánfora decide llamar a este actor con una designación interna, NIEBLA SECA, para poder referirse a él en los informes. La pregunta es de qué cuelga ese nombre: si se cuelga de una IP o un dominio, el día que el actor rote de infraestructura el nombre deja de significar nada. Si se cuelga del conjunto de comportamientos —el señuelo, la tarea de persistencia, el ritmo del canal de mando—, el nombre sobrevive a los cambios de infraestructura y sigue señalando al mismo modo de operar.

Un grupo se define por lo que hace de forma sostenida, no por dónde estuvo un día. El nombre es una etiqueta para un patrón de conducta, no para una dirección.

Abre el grafo del actor. En tres tiendas se repite la misma conducta con direcciones IP distintas; la plataforma agrupa esos rastros en un solo clúster de actor, colgado de las técnicas sostenidas y no de ninguna IP. Abre ese clúster agrupado y lee el código que lo identifica.