Leer el informe de un entorno de análisis

El entorno observa durante un tiempo limitado y en un lugar artificial. Eso tiene dos consecuencias para quien lee. Primera: un programa puede esperar más que el análisis antes de hacer nada, de modo que lo observado en esos minutos puede ser solo la espera; y los programas que comprueban si están en un entorno de este tipo existen como técnica documentada (ATT&CK la recoge como evasión basada en virtualización). Segunda: lo que el informe dice es lo que pasó ahí, no lo que pasaría en la red de la empresa.

Por eso un informe sin actividad no cierra el caso. Se repite con más tiempo si hay motivo y, sobre todo, se contrasta con lo estático y con el resto de lo conocido: la ausencia de comportamiento es un dato, no una absolución.

Un informe ordena lo que vio por categorías: procesos, archivos creados, registro, red, marcas en memoria. Para el triaje, una de las que más importa es la persistencia: lo que el programa deja escrito para volver a ejecutarse cuando el equipo se reinicia o la persona inicia sesión. En Windows, una de las formas más habituales es un valor en una clave de arranque del registro.

Ya conoces esto del módulo de persistencia; aquí la diferencia es que no lo buscas en un equipo comprometido, sino que lo lees en un informe. Abre archivos-y-registro.txt.

El apartado de red mezcla cosas muy distintas: consultas de nombres, una descarga puntual y conexiones que se repiten. Para el triaje conviene distinguir entre lo que el programa hace una vez y lo que repite a intervalos regulares con el mismo destino: eso último tiene aspecto de comunicación mantenida con un servidor. También hay tráfico que no habla de la muestra sino del entorno (una consulta de certificados, por ejemplo).

Abre red.txt y busca el destino de las conexiones repetidas del proceso upd.exe.

El informe dice cuánto duró el análisis y cuándo ocurrió la primera actividad. La resta es el tiempo de observación útil: lo que el entorno vio del comportamiento real, no de la espera. Si es corto, todo lo que el informe afirma descansa sobre pocos segundos y hay que decirlo en la valoración. Es un número que el informe no escribe y que tú calculas con dos que sí.

El entorno tenía un simulador de internet: contesta a las peticiones con datos sintéticos. Cuando el informe dice que la muestra descargó un archivo de 38912 bytes, lo que descargó es una respuesta del simulador, no lo que haría llegar el servidor real. Lo que sí es real es la conducta del programa: pidió esa ruta, a ese nombre y con ese identificador de cliente. Esa distinción separa lo que se afirma con seguridad de lo que se deja como hipótesis.

Se escribe así en el informe: «el programa descarga una configuración» (cierto, lo hizo) y no «descarga la configuración del atacante» (no se sabe).