Huellas, tipo real y cadenas

Un hash (aquí SHA-256) es el resultado de pasar el contenido de un archivo por una función que siempre da el mismo valor para el mismo contenido, y un valor completamente distinto si cambia un solo byte. Por eso identifica el archivo exacto aunque cambie de nombre, de carpeta o de fecha: el nombre y el tamaño los puede repetir cualquiera, la huella no.

Con la huella se hacen dos cosas: comparar con lo que ya se conoce (el catálogo propio, una base compartida) y demostrar integridad (la custodia de la sala anterior). Lo que no se puede hacer con ella es deducir cómo es el archivo: de un hash no se recupera nada.

Casi todos los formatos de archivo empiezan con unos bytes característicos, la cabecera, que dice qué son realmente. La extensión del nombre es solo una etiqueta que cualquiera puede escribir. Cuando las dos discrepan, manda la cabecera. El caso típico es el archivo con doble extensión: Factura.pdf.scr, que con las extensiones ocultas se ve como «Factura.pdf» y es un programa.

Comparar el tipo por nombre con el tipo real es de las comprobaciones más baratas del triaje y de las más rentables: una factura que es un ejecutable no tiene explicación inocente.

El catálogo interno guarda las huellas que el equipo ya clasificó (benignas y maliciosas) y de dónde salió cada veredicto. Una coincidencia da un antecedente: «esto ya lo vimos en el incidente de septiembre». Se compara la huella entera: dos hashes que empiezan igual no son el mismo archivo.

Tener antecedente ahorra horas, pero hay que leer de dónde viene: un veredicto de un incidente propio vale más que uno heredado sin fuente.

Una huella que no aparece en el catálogo no significa que el archivo sea seguro: significa que nadie la ha clasificado aquí. Un atacante cambia un byte y la huella es otra; una muestra nueva no tiene antecedente por definición. El triaje no se cierra con «no está en el catálogo»; sigue por lo que dice el propio archivo.

Y al revés: que una huella esté como benigna es un buen dato solo si el veredicto viene de una fuente fiable —aquí, la plantilla oficial de compras—.

Las cadenas son el texto legible que hay dentro de un archivo y se extraen sin ejecutarlo. La mayoría no dicen nada: todo programa lleva las mismas. Las que importan cuentan qué pretende el programa: nombres de servidor, rutas de descarga, claves del registro, marcas. Para separarlas se mira el contexto, no la forma: que algo parezca un dominio no lo convierte en un indicador.

En M-0417 aparecen dos nombres de servidor. Uno de ellos va dentro del bloque del certificado; el otro forma un conjunto con otras cadenas de red.