Lo abierto no es lo visible
En 2018 un mapa de rutas para correr dibujó el perímetro de bases militares secretas. Nadie filtró nada: todos salieron a trotar. La inteligencia de fuentes abiertas no vive en el dato, vive en la …
#Threat-Intel
El manual
En algún servidor hay un documento de doscientas y pico de páginas con índice, secciones y versiones. Está formateado como cualquier runbook técnico de los que escribo yo. Su salida no es un servicio …
¿Corazonada o paranoia? Leer al adversario
En la literatura militar china circula como caso de estudio la historia de que Estados Unidos proyectó a Jesucristo sobre las nubes de Somalia en 1995. No pasó — pero los profesionales de la guerra …
Envenenar el pozo
Por sesenta dólares se puede envenenar un modelo que costó millones entrenar. Pero el caso interesante no es el backdoor puntual: es el malware cuyo payload no es código sino significado, cuyo huésped …
Para quién trabaja el código
Leí un reporte de ingeniería inversa de un loader y no encontré una sola instrucción que un instalador legítimo no ejecute también: cargar una DLL, resolver una API, crear un mutex, escribir en el …
⟐ Blue Team
Anatomía de una capacidad (Parte 5): de la regla al motor
Última entrega de la serie. Cambiamos de asiento: dejamos de leer reglas y abrimos el motor que las evalúa. capa-real —el subconjunto file-scope de capa que reimplementé en APT115, corriendo en el …
El analista era el control
Un analista carga por error una IP privada en el MISP, un cliente se queja, el analista se va. Sobre por qué despedir a la persona que era el único control no arregla nada, cómo se bloquea eso en MISP …
⟐ Blue Team
Anatomía de una capacidad (Parte 4): C2, colección e impacto
Quinta entrega de la serie sobre capa-rules. El final del kill chain: la comunicación con el C2 (HTTP, socket, DNS), la colección de datos (keylogging, captura de pantalla), y el impacto del …
⟐ Blue Team
Anatomía de una capacidad (Parte 3): evasión, credenciales y descubrimiento
Cuarta entrega de la serie sobre capa-rules. La frontera file-scope se mueve a favor del análisis estático: el robo de credenciales en la nube, la caza de contraseñas de navegador y el reconocimiento …
⟐ Blue Team
Anatomía de una capacidad (Parte 2): inyección y persistencia
Tercera entrega de la serie sobre capa-rules. Desarmamos inject thread línea por línea —el ejemplo canónico de por qué una técnica compuesta se le escapa al file-scope aunque sus ingredientes no— y la …