2.1 · Metodología OSINT y OPSEC del investigador

12 min de lectura · osint / metodologia-osint / opsec-investigador / recon / etica / deteccion · ⎙ PDF

Panorama#

Abrir un navegador y buscar el nombre de un objetivo no es OSINT. La inteligencia de fuentes abiertas —Open Source Intelligence— es la recolección y el análisis disciplinados de información pública sobre personas, entidades e infraestructura, y su rasgo definitorio es que el dato crudo no es inteligencia: un correo electrónico, una foto o una dirección IP son solo hechos sueltos hasta que un método los sitúa en contexto, los corrobora y los convierte en una conclusión defendible. Este capítulo abre la Parte 2 y es su marco, del mismo modo que la metodología de pentest (3.1) abre la explotación: no enseña qué buscar por objetivo —eso lo hacen los capítulos siguientes— sino cómo trabajar para que lo encontrado tenga valor.

Dos pilares sostienen ese salto de dato a inteligencia. El primero es el método: el ciclo repetible que va de recibir la misión a entregar un reporte, con la disciplina de articular la pregunta antes de tocar el teclado y de pivotar ordenadamente de un identificador al siguiente. El segundo es el OPSEC del investigador —operational security—: la infraestructura no atribuible que protege la identidad de quien investiga y, sobre todo, la integridad de la evidencia. Y por encima de ambos gobierna la ética: como el OSINT toca la privacidad de personas reales, la decisión de cuándo y hasta dónde aplicar las técnicas es tan parte del oficio como las técnicas mismas.

El material es dual-use por naturaleza. El mismo tradecraft alimenta tres oficios: el recon ofensivo del red team (footprinting y pretexting antes del ataque, que desemboca en 3.1 y en el reconocimiento de Active Directory (4.1)), la investigación blue/CTI (atribución de actores, respuesta a incidentes, threat intelligence), y la defensa de la superficie propia (saber qué expone la organización para reducirlo). El registro de este capítulo es neutro y su encuadre, educativo y defensivo.

flowchart LR
  I["Intake\n(la misión)"] --> T["Triage\n(articular LA pregunta\n+ contexto)"]
  T --> K["Knolling\n(VPN · VM limpia ·\ncuentas encubiertas)"]
  K --> O["Colección\n(premium → open-source ·\ndisciplina de pestañas)"]
  O --> C["Captura\n(con la página fuente ·\ndate/hash/URL)"]
  C --> P["Pivoteo\n(saltar al siguiente\nidentificador)"]
  P -->|"dato nuevo"| O
  P --> R["Reporte\n(face-sheet · narrativa ·\nsourcing)"]
  classDef n fill:#1e293b,stroke:#475569,color:#e2e8f0;
  class I,T,K,O,C,P,R n;

La disciplina antes que la herramienta: el ciclo OSINT#

El error más común del principiante es «meterse a internet a los tumbos». El analista profesional empieza por el triage: articular la pregunta y confirmarla por escrito con quien encarga el trabajo —«se busca el nombre legal y las direcciones de quien controla tal correo, y hay dos horas, ¿es correcto?»—. Ese paso atrapa las confusiones frecuentes (a menudo el cliente entrega el correo de la víctima en lugar del del sospechoso, desperdiciando horas) y obliga a extraer contexto, porque —la máxima que ordena todo el capítulo— la información no es inteligencia hasta que tiene contexto. Conocer la cultura, los intereses y el entorno del objetivo hace mucho más fácil localizar sus cuentas. El triage se cierra con una pregunta honesta: ¿es OSINT la herramienta correcta? A veces una llamada de dos minutos da lo mismo que dos horas de búsqueda.

Después viene el knolling —disponer los instrumentos como un cirujano antes de operar—: la VPN conectada, la máquina de investigación limpia cargada, las cuentas encubiertas ya iniciadas y las carpetas del caso estructuradas (la infraestructura de todo esto es la segunda mitad del capítulo). Solo entonces se colecta, empezando —si se dispone de ellos— por los datos premium (agregadores comerciales que dan atajos inmediatos de direcciones y asociados), con la advertencia de que todo lo que dan está gratis en otro lado con más esfuerzo, y siguiendo con la investigación open-source.

Esa fase tiene su propia regla de oro: la disciplina de pestañas contra el rabbit-holing —saltar de indicio en indicio sin agotar la página actual, el mayor pozo del novato—. Se trata cada pestaña por completo antes de pasar a la siguiente: un indicio prometedor se abre en una pestaña nueva, uno fuerte que merece su propio juego de consultas se abre en una ventana nueva (una rama nueva del árbol), una página sin resultados se cierra. Al terminar un juego de pestañas se colapsan en una lista de URLs para las notas.

La captura debe preservar el contexto, no solo el dato: cada vez que se guarda una imagen o un video hay que guardar también una captura de la página fuente que la muestra en su lugar. Para trabajo que puede terminar en un tribunal, la colección pasiva con herramientas que registran cada página con su fecha, su hash y su URL provee una traza forense; pero de lo crucial conviene hacer además una captura manual, porque un script puede no ser explicable ante un jurado y un guardado manual sí. Esto es, en la práctica, cadena de custodia.

El pivoteo por identificadores#

Bazzell resistía la idea de un flujo estándar —cada caso es único—, pero admite un patrón que estructura toda la Parte 2: la meta con cada dato es saltar al siguiente identificador. De un correo se buscan usernames y nombres reales; de un username, las redes donde aparece y el correo asociado; de un nombre real, correos, teléfonos y parientes; de un teléfono, se verifica el nombre y la dirección; de un dominio, el nombre real y la infraestructura conectada. El ciclo se repite con cada dato nuevo, y el árbol de identificadores es el mapa de los capítulos que siguen —es el equivalente OSINT de la enumeración cíclica de 3.1: no se puede pivotar desde lo que no se enumeró—.

flowchart TD
  EM["Correo"] --> UN["Username"]
  UN --> RN["Nombre real"]
  RN --> TEL["Teléfono"]
  RN --> DOM["Dominio / infra"]
  TEL --> LOC["Ubicación / personas"]
  EM & UN & RN & TEL -.->|"identidad de persona"| C22["cap. 2.2"]
  DOM -.->|"infraestructura técnica"| C24["cap. 2.4"]
  LOC -.->|"contenido / geoint"| C23["cap. 2.3"]
  EM -.->|"filtraciones / breaches"| C26["cap. 2.6"]
  classDef n fill:#1e293b,stroke:#475569,color:#e2e8f0;
  class EM,UN,RN,TEL,DOM,LOC,C22,C23,C24,C26 n;

Ese árbol reparte el trabajo de P2: la identidad de persona (correo, usernames, teléfono, people-search) se desarrolla en 2.2; el contenido (imágenes y su EXIF, geoint, documentos, video) en 2.3; la infraestructura técnica (dominios, IPs, ASN, cripto) en 2.4; el reconocimiento ofensivo que lleva ese mapa hacia el ataque en 2.5; y las filtraciones, brechas y stealer logs en 2.6. Todo el ciclo escala de veinte minutos a veinte días con el mismo método: solo se comprimen o expanden los tiempos.

El OPSEC del investigador: la máquina limpia#

El segundo pilar es la infraestructura, y su tesis abre con una advertencia contraintuitiva: el equipo cotidiano está contaminado. Cada sitio visitado deja archivos de sesión, y servicios como los grandes comercios o redes sociales mantienen cookies persistentes que siguen al usuario aunque cierre sesión. Si durante una investigación se carga, por ejemplo, la lista de deseos de un objetivo en una tienda, la cuenta del investigador queda ligada a esa consulta y su nombre puede aparecer en la captura. El riesgo se vuelve legal: en una audiencia, la parte contraria puede pedir —y el juez ordenar— un clon idéntico del equipo usado, y toda la actividad personal y de otros casos sale a la luz. La conclusión es una regla firme: una máquina dedicada exclusivamente a investigaciones, sin uso personal; y para revivir una ya usada no basta borrar archivos, hay que reformatear.

La arquitectura práctica es la máquina virtual por caso. Se construye una VM maestra —«OSINT Original», típicamente Ubuntu— con todo el arsenal instalado, se la mantiene actualizada y nunca se investiga desde ella. Para cada caso se hace un clon completo (full clone) titulado con el número de expediente; toda la evidencia queda dentro de ese clon, se exporta a un medio externo, y el clon se borra o se archiva al cerrar. El pago de ese esfuerzo es doble: cada investigación corre sobre un entorno prístino, sin contaminación de casos previos, y el clon exportado puede entregarse como parte del discovery en un litigio o a otro investigador —listo para testificar con confianza—.

Sobre esa base se apilan tres controles más. La VPN de host completo, activa en todo momento, que enmascara IP, ubicación e ISP del equipo entero (no solo del navegador) y permite elegir el país de salida; Tor se reserva para cuando de verdad hace falta ocultar la conexión completa, no para el uso diario (es lento y muchos sitios lo bloquean). El gestor de contraseñas offline —KeePassXC se elige precisamente porque no sincroniza a internet—, con una contraseña única de 40 a 50 caracteres por cada cuenta: así, cuando el sitio sufra una brecha —cuándo, no si—, la credencial filtrada no servirá en ningún otro lado ni expondrá las cuentas reales. Y, para los casos sensibles de larga duración, el aislamiento total llega hasta un teléfono y una SIM prepaga dedicados por caso: un número real destraba los muros de verificación que arruinan las cuentas encubiertas basadas en VOIP, y al cerrar el caso el dispositivo se archiva sellado como evidencia.

Identidad encubierta y entornos móviles#

Investigar sin exponerse exige perfiles encubiertos —sock puppets—: cuentas con alias, pagadas en su caso con criptomoneda a nombre ficticio, aisladas cada una en su VM y con credenciales que nunca se comparten entre casos (compartir la base de contraseñas entre VMs crea un vínculo entre investigaciones). Un detalle operativo clave: las cuentas se preparan con antelación, porque crear una a mitad de una investigación urgente casi garantiza desafíos de seguridad y suspensiones; conviene un stock de cuentas «semi-maduras».

La pieza más moderna es la emulación de Android, porque una parte creciente de las redes —mensajería efímera, citas, video corto— ya no ofrece búsqueda desde navegador. La receta preserva el anonimato: Android Studio (el emulador nativo) con F-Droid y una tienda alternativa para instalar aplicaciones sin cuenta Google, y un dispositivo clonado por caso igual que las VMs. Su valor real está en dos técnicas durables que la web no permite. El GPS spoofing fija una ubicación falsa que se anuncia a cualquier aplicación location-aware —útil para dar credibilidad a un perfil encubierto o para confirmar la presencia de un objetivo en una zona—. Y la más potente, la contact exploitation: agregar el teléfono o el correo del objetivo a los Contactos del dispositivo fuerza a muchas aplicaciones a tratarlo como un conocido, saltando las protecciones que normalmente ocultan la conexión —una función de «encontrar amigos» revela entonces el perfil ligado a ese número—.

La contact exploitation es también el argumento defensivo más directo de este capítulo. Un número o correo corporativo, si está ligado a aplicaciones personales, expone la identidad y la actividad del empleado a cualquiera con un emulador. De ahí las políticas de no reutilizar el teléfono laboral en aplicaciones personales, las cuentas de rol sin número personal, y la concientización sobre las funciones de «encontrar amigos». La misma lente de «reducir la huella» que el investigador aplica sobre sí mismo se invierte para el hardening del personal.

El reporte defendible#

Sin evidencia digital, «el incidente que se investiga nunca ocurrió». El trabajo culmina en un reporte de estructura fija. El face-sheet condensa lo esencial —caso, analista, período, identificadores— con los hallazgos clave en media página o menos, para que un responsable los entienda de un vistazo. La narrativa va en primera persona y en orden cronológico (cuenta el camino a los hallazgos, lo que es vital para el testimonio), reconoce la evidencia exculpatoria, y expresa la confianza en palabras —«no fundamentado», «probable», «muy probable»—, nunca en porcentajes que fingen una precisión inexistente. Cada dato lleva su fuente, y múltiples fuentes diversas elevan la confianza: una dirección en un people-search —notorio por falsos positivos— es débil; la misma dirección en el catastro del condado es fuerte. Antes de entregar, se sanitiza el documento para quitar la metadata de autor. Este rigor —articular la pregunta, separar el hecho de la inferencia, sostener cada afirmación con su fuente— es lo que distingue un reporte de inteligencia de una colección de capturas de pantalla.

Ética, encuadre defensivo y lente púrpura#

Como el OSINT toca la privacidad de personas reales, su gobierno es la ética, y su principio rector es la proporcionalidad: el alcance de la intrusión debe ser proporcional a la gravedad del asunto investigado. Una amenaza vaga y sin sustancia contra un funcionario, una vez descartada como amenaza real, no justifica seguir cavando en la vida de esa persona; un delito grave justifica agotar todo el dato público hasta la certeza. Sobre los datos públicos por error —un servicio mal configurado accesible sin credenciales—, la intención decide si es apropiado usarlos. El doxing —perfilar y publicar para causar miedo o daño— es el caso claro de mal uso. Toda decepción debe ser articulable: una cuenta encubierta es poco invasiva y casi siempre imprescindible, pero la infiltración activa de un grupo cambia su dinámica y solo se justifica cuando el bien mayor supera la intrusión. Y una regla práctica cierra el marco: cualquier trabajo de OSINT que produzca gratificación personal es una señal de alarma. El material de abuso infantil tiene protocolo propio y no negociable —no capturarlo, notificar, reportar a las autoridades y al organismo correspondiente, documentar solo URLs—.

Este encuadre cumple la función que en un capítulo ofensivo cumple la subsección de detección: es el conjunto de reglas de enganche que decide cuándo y cómo se aplica todo lo anterior —el análogo del scoping y las rules of engagement de un pentest—. Y su cara defensiva, la lente púrpura, es la inversión de las técnicas sobre uno mismo: correr la enumeración de identidad, el geoint de las fotos y el pivoteo de infraestructura contra la propia organización (self-recon) revela la huella que un atacante vería y permite reducirla antes de que la use. Del lado de la investigación, este mismo ciclo —intake, triage, colección con cadena de custodia, análisis con niveles de confianza, reporte— es el ciclo de inteligencia del analista blue/CTI, casi uno a uno: el método que gobierna tanto la emulación adversaria como su detección y atribución. En términos de MITRE ATT&CK el capítulo cubre el proceso que envuelve la táctica de reconocimiento (TA0043: Gather Victim Identity/Org Info, Search Open Websites), común al atacante que la ejecuta y al defensor que la anticipa.

Referencias#

osint/bazzell-osint/cap-01 — OPSEC del investigador: la máquina dedicada y la integridad de la evidencia, la arquitectura de VM maestra → clon por caso → exportar → borrar, la VPN de host y Tor, el gestor de contraseñas offline, los sock puppets, y la emulación de Android (GPS spoofing y contact exploitation).
osint/bazzell-osint/cap-08 — Metodología, documentación y ética: el ciclo intake → triage → knolling → premium → open-source con disciplina de pestañas → captura → flowcharts de pivoteo; el reporte (face-sheet, narrativa, sourcing, sanitización); y el marco ético (proporcionalidad, intención, decepción articulable, protocolo de material sensible).
Michael Bazzell, OSINT Techniques: Resources for Uncovering Online Information (10ª ed., 2023) como manual de referencia; el sitio inteltechniques.com para las herramientas y su actualización —recordando que los pasos concretos caducan y lo durable es el método—.
MITRE ATT&CK — Reconnaissance (TA0043), la táctica que este capítulo enmarca metodológicamente tanto para el recon ofensivo como para su detección.

Mencionado en

0.6 · Síntesis: el manual en una ideaEl capítulo que cierra la Parte 0 y, con ella, el manual entero. Después de recorrer diez Partes —la explotación, el Active Directory, el reconocimiento, la defensa azul, la inteligencia de amenazas, la validación púrpura, la gobernanza, el factor humano, la inteligencia artificial y estos fundamentos— la pregunta que queda es la más difícil y la más importante: ¿cuál es el hilo único que atraviesa todo? Este capítulo lo responde destilando las diez Partes en una sola idea. Muestra que las técnicas cambian —cambia el intérprete que se inyecta, cambia el protocolo que se abusa, cambia la superficie que aparece con cada tecnología nueva— pero los principios no: separar los datos del código, otorgar el mínimo privilegio, apilar la defensa en profundidad, reconocer que el humano es una superficie y que la máquina cambia la escala pero no los fundamentos, todo bajo una gobernanza que lo ejerce y una inteligencia que lo orienta. Recapitula la travesía como un solo movimiento y llega a la tesis que corona el libro: la seguridad no es un producto que se compra ni una técnica que se domina, sino una propiedad que se cultiva —un puñado de invariantes aplicados con disciplina a cada capa, sostenidos en el tiempo—. Y cierra volviendo al principio: esta Parte se lee primera porque es el cimiento, pero se escribió última porque solo desde el edificio terminado se ve sobre qué se paró cada piso.
1.1 · El programa de inteligencia: niveles, ciclo y requerimientosEl capítulo-marco que abre P1. Su tesis: la inteligencia no se define por el dato que contiene sino por la decisión que habilita, de modo que un programa sin requerimientos explícitos no produce inteligencia sino feeds. Desarrolla los tres niveles de consumo —táctico, operativo y estratégico— como tres productos distintos con tres consumidores distintos, el ciclo de seis fases como disciplina que impide la acumulación estéril de indicadores, y el criterio de madurez que separa a la organización que compra inteligencia de la que la produce a partir de sus propios incidentes.
1.2 · Colección: fuentes, taxonomía y evaluaciónLa segunda fase del ciclo: de dónde sale el material. Desarrolla la taxonomía completa de fuentes —internas y las seis familias externas: honeynets y darknets, sinkholes, informes de proveedor, escaneo y crawling, procesamiento de malware y relaciones humanas en canales cerrados—, el dilema entre construir y comprar, y el criterio que ordena todo lo anterior: el valor de una fuente no es su volumen sino su unicidad y su latencia respecto de la decisión. Cierra con la priorización concéntrica hacia los activos estratégicos, la señal de explotación como corrección al parcheo por severidad, y los tres riesgos de la colección misma.
2.2 · OSINT de identidad: email, usernames, teléfono y personasEl primer capítulo de contenido de P2 recorre la rama «identidad de persona» del árbol de pivoteo: cuatro identificadores —correo, username, nombre real y teléfono— anclan a una persona, y cada uno salta a los otros. El correo es el ancla preferida porque es único; se verifica, se permuta y, sobre todo, se cruza con datos de brechas —la técnica más valiosa del oficio, que confirma que una cuenta es real y dice en qué servicios investigar—. El username se enumera cross-platform, el nombre real se convierte en dossier con los people-search engines, y el teléfono se trabaja en tres fases hasta el titular. La misma cosecha que arma el perfil de un objetivo para un ataque mide, invertida, la exposición de credenciales de la propia organización.
2.3 · OSINT de contenido: imágenes, EXIF, geoint, documentos y videoLa segunda rama del árbol de pivoteo: el contenido que un objetivo produce o que lo referencia. El patrón durable no es «mirar» una foto, un mapa o un documento, sino extraer la propiedad estable que lleva incrustada —una coordenada GPS, un campo de metadata, un número de serie de cámara, el identificador de un video— y dispararla en paralelo contra decenas de proveedores, porque cada uno guarda una porción y una fecha distintas. Y el rasgo que hace valioso el capítulo: el contenido casi siempre filtra más de lo que su autor quiso —la matrícula que el difuminado suelta unos metros después, el thumbnail que conserva la foto sin recortar, la metadata que nombra la computadora del autor—.
2.4 · OSINT de infraestructura: dominios, IPs, registros, cripto y APIsLa tercera rama del árbol de pivoteo: la infraestructura que un objetivo opera. El anclaje ya no es un identificador de persona ni una propiedad embebida en un archivo, sino un identificador técnico estable —un dominio, una IP, un certificado SSL, un ID de analytics, una dirección de criptomoneda— y el movimiento definitorio es la correlación que no depende de WHOIS: la privacidad que el objetivo aplica (WhoisGuard, Cloudflare) se filtra por los identificadores que su infraestructura comparte consigo misma y por el pasado, que casi siempre queda registrado. Todo pivota contra todo: dominio↔IP↔ID de analytics↔SAN del certificado↔email↔brecha, y las APIs de enriquecimiento y los frameworks convierten ese pivoteo en un dossier automatizado y persistente.
2.5 · Recon ofensivo: superficie de ataque, subdominios y monitoreo continuoEl capítulo bisagra de P2: reorienta todo el mapa OSINT hacia el ataque. Las ramas anteriores coleccionaban inteligencia sobre personas, contenido e infraestructura; aquí el mismo instrumental se dirige a la superficie de ataque de una organización, y dos ejes lo ordenan —pasivo frente a activo (el reconocimiento que el objetivo nunca percibe frente al que deja huella) y puntual frente a continuo (la ventaja real del atacante es el tiempo: vigilar la superficie y capturar la ventana en que algo se expone)—. La nube rompió el escaneo por rango y los certificados SSL lo resolvieron; GitHub filtra los secretos «borrados»; un bucket mal permisado escala de lectura a ejecución. El resultado es la lista de objetivos que alimenta la explotación (3.1) y el recon interno de Active Directory (4.1).
2.6 · Leaks, breaches y stealer logs: procesar y pivotar datos filtradosEl capítulo que cierra P2 —y con ella el bloque rojo— desarrolla en profundidad la «técnica más valiosa» que 2.2 introdujo: el investigador arma su propia colección offline de datos filtrados y la consulta. La habilidad durable no son las URLs (caducan) sino la cadena de herramientas de línea de comandos para procesar datasets gigantes sin una base indexada. La taxonomía tiene cuatro capas de invasividad creciente —leaks, breaches, stealer logs y ransomware— y su técnica estrella es el reúso de contraseña: hallar la clave de un objetivo revela las demás cuentas que la reúsan. El encuadre ético que gobierna todo —ingerir el dato para notificar a los comprometidos, jamás acceder a cuentas ni redistribuir— es a la vez la línea legal y la puerta al bloque azul.
3.1 · Metodología de pentest: del scoping al reporteEl capítulo que abre la Parte 3 y enmarca todo lo que sigue: qué distingue un pentest de un red team (y qué es un assumed breach), las fases del engagement como ciclo de vida, el mindset de enumeración exhaustiva y cíclica, cómo las credenciales encadenan el ataque, y por qué la metodología del atacante es también el mapa del defensor.
5.1 · El programa de defensa: detección y threat huntingEl capítulo-marco que abre P5 y da vuelta el manual: del atacante que necesita todos los eslabones al defensor que solo necesita fallar uno. La defensa no es una suma de herramientas sino un programa activo de funciones que interoperan —inteligencia, detección, respuesta, validación, cacería y control— bajo el mismo supuesto de compromiso que gobierna al atacante. Su tesis operativa: la detección se construye por comportamiento (TTP), no por artefacto atómico (la pirámide del dolor de Bianco), y la cacería dirigida por hipótesis retroalimenta la detección en un ciclo cerrado (hunt-to-detection). Es el espejo azul de la metodología de pentest (3.1) y del método OSINT (2.1).
5.4 · Respuesta a incidentes y recuperaciónEl destino de toda detección o cacería confirmada: la función Respond del programa de defensa. El capítulo desarrolla el ciclo de respuesta a incidentes del NIST —preparación, detección/análisis, contención/erradicación/recuperación, post-incidente— alrededor de una tesis sobre el tempo: la remediación prematura, ejecutada antes de acotar el alcance, alerta al adversario y desata un juego de whack-a-mole que prolonga el incidente y facilita la reinfección. Distingue la remediación táctica (contener, restaurar, erradicar) de la estratégica (los cambios arquitectónicos que impiden repetir la intrusión), aborda la particularidad de la respuesta en la nube (la responsabilidad compartida limita el acceso a la evidencia) y cierra con la recuperación: sin un plan de DR/BCP con backups offline, el ransomware gana. Es la función que 5.1 nombró y donde converge la telemetría de 5.2, la contención de identidad de 5.3 y el forense de 5.5.
5.5 · Forense de memoriaEl quinto y último capítulo-fundamento de P5, y el que destapa lo que el disco no ve. La RAM es evidencia volátil que muere en el reinicio —procesos activos, conexiones establecidas, credenciales en claro, código inyectado sin archivo—, de modo que se captura en vivo antes de apagar, con cuidado de no corromperla. Sobre el volcado, Volatility perfila el sistema y triangula lo oculto: pslist frente a psscan expone el proceso que un rootkit borró de la lista del kernel, malfind localiza el código inyectado en regiones RWX sin archivo de respaldo, netscan recupera el canal de C2 y hashdump las credenciales. Es el espejo forense de la inyección in-memory (3.11) y de los rootkits (3.14): las técnicas que ganaron contra el escaneo de disco pierden en memoria, porque para ejecutar tienen que estar ahí. Cierra los fundamentos 5.1–5.5; los binarios que extrae alimentan el análisis de malware de 5.8.