Detección de ofuscación de scripts por entropía y longitud

Abre metricas_ofuscacion_scripts.txt en la consola del laboratorio con el entorno rt-scripts-firmas-guia.

Los administradores de sistemas y los scripts corporativos legítimos se caracterizan por una estructura sintáctica legible, nombres de variables con significado semántico y palabras reconocibles en los diccionarios. Los comandos generados por ofuscadores automáticos rompen este patrón por completo.

Revisa el apartado de indicadores analizados en metricas_ofuscacion_scripts.txt.

Las reglas de detección de los sistemas de seguridad monitorean la extensión de los comandos pasados como argumentos a los intérpretes. Ciertos volúmenes de texto continuo en la línea de ejecución despiertan sospechas inmediatas de código incrustado en Base64 o scripts empaquetados.

Herramientas públicas como Invoke-Obfuscation insertan decenas de caracteres especiales (como comillas invertidas, signos de intercalación o concatenaciones continuas de cadenas) para romper palabras clave como Invoke-Expression o DownloadString.

Los modelos de detección modernos calculan el cociente entre caracteres alfanuméricos y símbolos de puntuación: si la densidad de símbolos supera los umbrales normales de la sintaxis del lenguaje, la instrucción es catalogada automáticamente como comando ofuscado malicioso.