https://fennek.org/tags/threat-hunting/Recent content in Threat-Hunting on Dust115 // SkullFox Digital ArchiveHugoenWed, 16 Sep 2026 21:00:00 -0300https://fennek.org/posts/el-log-que-se-desofusca-solo/Wed, 16 Sep 2026 21:00:00 -0300https://fennek.org/posts/el-log-que-se-desofusca-solo/El atacante ofusca su script de PowerShell para que en el disco no se lea nada: Base64, cadenas partidas, todo ilegible. Pero el motor no ejecuta Base64 — ejecuta texto plano, y para eso tiene que decodificarlo primero. El Event 4104 lo captura en ese instante, ya desofuscado, justo antes de correr. Sobre por qué lo que te delata no es lo que escondes sino el momento exacto en que tienes que dejar de esconderlo, y por qué el escaneo de disco llega ciego a esta cita.https://fennek.org/posts/el-protocolo-que-nadie-cierra/Tue, 15 Sep 2026 21:00:00 -0300https://fennek.org/posts/el-protocolo-que-nadie-cierra/El DNS es el único puerto que ningún firewall se anima a cerrar del todo, porque cerrarlo es apagar internet y que te llamen a las tres de la mañana. Por eso es el canal encubierto perfecto: los datos robados salen escritos en los subdominios que tu propio resolver consulta de buena fe. Sobre el DNS tunnelling, por qué la infraestructura de confianza es la mejor superficie de ataque, y cómo se caza un mensaje que va escondido en la pregunta y no en la respuesta.https://fennek.org/posts/a-la-misma-hora/Mon, 14 Sep 2026 21:00:00 -0300https://fennek.org/posts/a-la-misma-hora/Un implante que se conecta cada sesenta segundos, con el mismo peso de paquete y un User-Agent que ningún navegador escribió jamás, tiene un problema que ninguna capa de TLS le arregla: la puntualidad. Sobre el beaconing, por qué al C2 no lo delata lo que dice sino cada cuánto lo dice, qué es el jitter y por qué es enseñarle al malware a llegar tarde a propósito, y la diferencia entre leer el mensaje y medir el pulso de quien lo manda.https://fennek.org/posts/el-que-ya-esta-adentro/Sat, 12 Sep 2026 21:00:00 -0300https://fennek.org/posts/el-que-ya-esta-adentro/El insider no fuerza ninguna puerta: ficha, entra con su tarjeta y roba con permiso. Usa credenciales legítimas y accesos autorizados, así que no hay intrusión que detectar — solo una desviación de comportamiento. Por eso UEBA no mide contra firmas de ataque sino contra tu propia línea base: qué hace normalmente esta persona, y qué está haciendo hoy. Sobre por qué el caso defensivo más difícil es el que, paso a paso, parece alguien haciendo su trabajo un poco de más, y por qué el borrado de evidencia es la única señal inequívoca y siempre llega tarde.