IOC de comportamiento: registro, red y artefactos de archivos

Los indicadores de compromiso (IOC) son artefactos forenses que indican que un sistema ha sido comprometido. Incluyen hashes de archivos, direcciones IP, nombres de dominio, claves del registro, mutexes y patrones de comportamiento que aparecen en el intercambio de inteligencia sobre amenazas.

Los IOC de archivos incluyen hashes MD5/SHA-256 del malware, rutas y nombres de archivos depositados y firmas del contenido de los archivos (reglas YARA). Los IOC basados en hashes son frágiles: recompilar cambia los hashes; por eso, céntrese también en los IOC de comportamiento y los hashes difusos.

Ubicaciones clave de persistencia: HKCU\Run, HKLM\Run, XML de tareas programadas en el registro, entradas de servicios y valores de DLL auxiliares de Winlogon. Documente la ruta completa de la clave, el nombre del valor y los datos de cada IOC del registro descubierto.

Registre los dominios de C2, las direcciones IP, los puertos y los patrones de URI. Incluya las cadenas User-Agent, las cabeceras HTTP y las huellas digitales de certificados para C2 mediante HTTPS. Los dominios DGA requieren detección basada en patrones, no IOC fijos.

El malware crea mutexes con nombre para evitar una doble infección. El nombre del mutex es un IOC único. Compruebe los mutexes en ejecución con Process Hacker o Sysinternals Process Monitor para verificar el nombre específico del mutex utilizado por la muestra.

Detección de inyección de procesos: supervise las cadenas de API OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread en secuencia desde un proceso principal inesperado. Esta secuencia es un IOC de comportamiento fiable para la inyección clásica.

Las conexiones SMB a los recursos compartidos ADMIN$ o IPC$, la creación de servicios mediante PSExec, la creación de procesos WMI mediante WmiPrvSE.exe y los patrones de ejecución de herramientas similares a PsExec son IOC de comportamiento de movimiento lateral.

Los objetos Indicator de STIX encapsulan los IOC en un formato legible por máquinas, con sintaxis de patrones y los campos valid_from y confidence. Compártalos mediante TAXII o plataformas de inteligencia de amenazas para poner en práctica los IOC en toda la organización.

OpenIOC, de Mandiant, utiliza XML para combinar múltiples IOC en árboles lógicos (AND/OR). Un IOC puede requerir: un archivo con un hash específico AND una clave del registro presente AND una conexión de red con una IP específica, lo que reduce los falsos positivos.

Los IOC caducan. Los dominios se desvían a sinkholes, las IP se reasignan y los hashes mutan. Revise la vigencia de los IOC mensualmente. Retire los IOC obsoletos, actualice el recuento de detecciones y eleve a listas de bloqueo de alta prioridad los IOC que aparezcan en varios incidentes.

Los IOC se convierten en hipótesis de caza de amenazas. Busque coincidencias de IOC en los registros mediante consultas SPL/KQL de SIEM sobre datos históricos. Incluso una sola coincidencia de hace meses puede revelar el tiempo de permanencia, es decir, cuánto tiempo pasaron los atacantes sin ser detectados.

Los IOC abarcan archivos, entradas del registro, artefactos de red, mutexes y patrones de comportamiento. La documentación adecuada de los IOC, su intercambio mediante STIX y la gestión de su ciclo de vida convierten los hallazgos sin procesar de los incidentes en inteligencia defensiva reutilizable.