Qué se busca por la flota

Un indicador de compromiso es una señal concreta del ataque que se puede buscar en otras máquinas. Pero su valor depende de lo que le cueste al atacante cambiarlo. El hash de un binario es el ejemplo de indicador débil: identifica un fichero exacto, y basta recompilar cambiando un byte para que el hash sea otro y la máquina con el implante «nuevo» no responda a la búsqueda. Cazar solo por hash encuentra las copias idénticas y se le escapan las que el atacante retocó mínimamente —que es justo lo que hace al desplegar en varias máquinas—.

Un buen indicador no es el más preciso, sino el que el atacante no puede cambiar sin rehacer su trabajo. La precisión del hash no vale nada si se evapora con una recompilación.

Frente al hash, otros indicadores le cuestan mucho más al atacante. El nombre de la tarea OneDriveSync y la ruta /tmp/.c del servicio están incrustados en su herramienta: cambiarlos le obliga a rehacerla y redesplegarla en todas las máquinas. La dirección externa del implante cuesta aún más de mover, porque implica cambiar su infraestructura. Y lo que más le cuesta es su técnica —un documento que lanza un intérprete con la ventana oculta—: cambiarla es, en la práctica, cambiar de forma de atacar. Cuanto más arriba en esa escala, más difícil de evadir es el indicador y más máquinas comprometidas encuentra.

La caza se construye sobre lo que el atacante no puede cambiar barato. Esos indicadores sobreviven a que sepa que lo estás buscando, que es justo la prueba que tienen que pasar.

Hay un extremo opuesto al hash frágil: el indicador tan genérico que marca a todo el mundo. Buscar «un proceso llamado svchost.exe» devuelve cientos de resultados legítimos y entierra el verdadero hallazgo en ruido; la caza se vuelve inservible no por falta de respuestas, sino por exceso de falsas. Un buen indicador es específico del ataque pero robusto frente a cambios: la combinación «tarea OneDriveSync que lanza un script desde el perfil cada pocos minutos» describe el implante sin marcar a ninguna máquina sana. El arte está entre los dos extremos —ni tan frágil que se evada, ni tan amplio que inunde—.

Un conjunto de indicadores se afina probando qué marca: si señala máquinas limpias, es demasiado genérico; si solo encuentra una copia exacta, es demasiado frágil. El punto medio es lo que hace medible el alcance.

Abre el laboratorio de los indicadores. Tienes la lista de candidatos, cada uno con lo que le cuesta al atacante cambiarlo, y la consulta final que se lanzará a la flota. El conjunto bueno deja fuera el hash frágil y se apoya en la tarea, la ruta, la dirección y la técnica —lo que el atacante no puede mover barato—. Esa consulta final lleva el código de la sala.