Glosario

ADB: ADB (Android Debug Bridge) es la herramienta con la que un desarrollador maneja un móvil o tablet Android desde el ordenador: instalar apps, ejecutar comandos, curiosear dentro. Es potentísima y no pide contraseña, así que si un aparato la deja abierta al exterior —cosa que pasa en descodificadores y cacharros Android baratos— cualquiera puede empujarle malware. Es la puerta por la que entran Sysorbit y Trinity.
angr: angr es una herramienta de análisis de binarios que, en vez de leer el código instrucción a instrucción, lo explora de forma automática: prueba matemáticamente todos los caminos que puede tomar el programa para, por ejemplo, encontrar qué entrada desbloquea una rama o revierte un cifrado. Es ejecución simbólica, y sirve para atajar cuando la ingeniería inversa a mano se hace cuesta arriba. Aparece cuando una muestra resiste el análisis directo.
APK: Un APK es el paquete en el que viene una aplicación de Android: dentro está el código, los recursos y los permisos que pide. Instalar una app es abrir su APK. El malware de Android llega como un APK que alguien empuja al dispositivo (por ADB, por ejemplo), y analizarlo es desarmar ese paquete capa a capa. Sysorbit y el minero de Trinity son APKs.
argon2: argon2 ganó en 2015 el concurso que buscaba la mejor forma de guardar contraseñas, y su gracia es que se puede ajustar para consumir mucha memoria: eso encarece enormemente probar millones de claves a la fuerza. De ahí saltó al minado, donde se busca exactamente lo mismo —que no compense fabricar máquinas especializadas—, y varias monedas pequeñas lo usan con nombres propios. Por eso aparece en la lista de algoritmos de un minero de malware junto a RandomX y CryptoNight.
ASN: Internet no es una sola red, sino miles de redes que se hablan entre sí. Cada una —un operador, un proveedor de hosting, una universidad— tiene un identificador único: su ASN (Autonomous System Number). Cuando ves una IP atacando, buscar su ASN te dice a qué organización pertenece esa dirección (por ejemplo OVH, o MEVSPACE). No es el atacante, pero sí la casera del piso desde el que ataca — y eso ya es un hilo del que tirar.

BGP: BGP (Border Gateway Protocol) es la conversación permanente que mantienen entre sí las redes que forman internet: cada una anuncia a las demás qué bloques de direcciones puede alcanzar, y todas juntas van componiendo el mapa por el que viaja el tráfico. Para una investigación tiene una virtud que casi nada más tiene: existen archivos históricos de esos anuncios, así que se puede preguntar quién anunciaba un rango concreto en una fecha concreta. Los registros de internet al uso solo contestan por el estado de hoy, y confundir el dueño de ahora con el de hace tres años es uno de los errores más fáciles y más silenciosos que se pueden cometer.
blob: Un blob (de «binary large object») es un trozo de datos opaco: una masa de bytes sin estructura aparente que ni las herramientas identifican. En el análisis de malware suele ser lo más jugoso y lo más difícil: la carga útil cifrada, un contenedor comprimido, la configuración escondida. Descifrar qué es un blob —y cómo se abre— es a menudo el nudo del capítulo, como el blob triplemente blindado de Trinity en el 13.
booter: Un booter (o «stresser») es DDoS como servicio: un panel web donde se paga —a veces unos pocos euros— y se encarga un ataque contra una dirección durante unos minutos. Se anuncian con el eufemismo de servir para «probar la resistencia de tu propia red», pero el negocio real es echar a alguien de internet: un rival en una partida, una tienda de la competencia, alguien a quien se quiere callar. Detrás de un booter hay una botnet que aporta la potencia, y por eso el malware de DDoS y estos servicios son las dos caras del mismo negocio.
botnet: Una botnet es una red de ordenadores, routers, cámaras o teléfonos infectados que obedecen a un mismo atacante sin que sus dueños lo sepan. Cada aparato es un «bot»; juntos son un ejército que se dirige desde un servidor central. Se usan para tumbar webs a golpe de tráfico (DDoS), minar criptomonedas o esconder el origen de otros ataques. XorDDoS y Mirai, de los primeros capítulos, son familias de botnet.

C2: El C2 (de command-and-control, mando y control) es el puesto de mando del atacante: el servidor al que el bicho infectado se conecta para pedir instrucciones, recibir actualizaciones y entregar lo robado. Encontrar a dónde llama un malware —su C2— es medio caso resuelto: revela la infraestructura del atacante y permite cortarle la cabeza. Buena parte de la ingeniería inversa de esta bitácora consiste en destapar el C2 escondido dentro del binario.
ChaCha20: ChaCha20 es un cifrado de flujo: a partir de una clave genera una riada de bytes y la mezcla con el texto. Es rápido en software puro, sin instrucciones especiales del procesador, y por eso se usa en TLS y en los móviles. Se delata solo: toda implementación lleva escrita la cadena expand 32-byte k, que forma parte de su arranque. Cuando aparece dentro de un bicho significa que quien lo escribió ha dejado atrás el XOR casero y se ha traído criptografía de verdad — mala noticia para quien quiera leerle la configuración.
Coinhive: Coinhive fue un servicio que permitía minar Monero directamente en el navegador de los visitantes de una web — pensado como alternativa a la publicidad, acabó abusadísimo para minar sin permiso. Cerró en 2019. Lo curioso, en el capítulo 10, es que el minero de Trinity sigue intentando llamar a un Coinhive que ya no existe: un fósil que delata la edad y la genealogía del bicho.
credenciales por defecto: Muchos dispositivos —cámaras, routers, grabadores— salen de fábrica con un usuario y contraseña por defecto, iguales para todas las unidades del modelo y publicados en el manual. Si el dueño no los cambia, cualquiera que conozca esa combinación entra sin esfuerzo. Es exactamente lo que explotan las botnets de IoT: probar las credenciales de fábrica más comunes contra millones de aparatos. XorDDoS, en el capítulo 1, se cuela justo así.
cryptojacking: El cryptojacking es minado parásito: en vez de comprar hardware y pagar la electricidad, el atacante mete un minero en máquinas de otros y las pone a generar criptomoneda para él. La víctima nota, como mucho, que su aparato va lento o consume más. Es el negocio de familias como RedTail y Trinity, que en cuanto entran ponen a minar Monero en tu servidor.
CryptoNight: CryptoNight fue el algoritmo de minado de Monero hasta 2019, y el de buena parte de las criptomonedas que nacieron a su sombra. Está diseñado para depender mucho de la memoria, lo que en su día encarecía fabricar hardware dedicado. Monero lo cambió por RandomX, pero no ha desaparecido: los mineros que circulan dentro del malware llevan de serie una docena larga de variantes suyas, porque el mismo binario sirve para minar monedas distintas según lo que le diga su configuración.

DDoS: Un DDoS (denegación de servicio distribuida) no roba ni entra: sencillamente ahoga. Una botnet de miles de aparatos lanza tráfico contra una web o servidor todos a una, hasta que se queda sin recursos y deja de atender a los usuarios legítimos. Es la especialidad de las familias tipo Mirai o Gafgyt: convertir cámaras y routers ajenos en un ariete.
DNS pasivo: El DNS normal solo contesta al presente: «¿a qué IP resuelve este dominio ahora?». El DNS pasivo son colecciones que van guardando esas respuestas a lo largo del tiempo, recogidas por sensores repartidos por la red. Eso permite dos cosas que el DNS no da: consultar el histórico de un dominio —por qué direcciones ha ido pasando y en qué fechas— y hacer la consulta inversa, preguntarle a una IP qué nombres han apuntado a ella. Para seguir infraestructura es la herramienta central: se hace desde fuera, sin tocar la máquina del otro, y es lo que convierte «esta IP es sospechosa» en «estos dominios vivieron aquí, y en estas fechas».
DoT (DNS sobre TLS): Normalmente una consulta DNS —traducir un nombre de dominio a su IP— viaja en claro: tu proveedor, el cortafuegos o cualquiera que observe la red ve qué dominios pides. DNS sobre TLS (DoT) mete esa consulta dentro de un túnel cifrado, por el puerto 853, de modo que el destino y el puerto se ven pero el contenido no. Lo usa mucha gente por privacidad legítima; también le sirve a un malware para esconder a qué dominios resuelve su infraestructura.
dropper: Un dropper es la avanzadilla. Suele ser un script o un binario diminuto cuyo único trabajo es preparar el terreno —mirar qué arquitectura tiene la máquina, buscar un directorio donde pueda escribir, desactivar defensas— y luego bajar el programa principal desde un servidor y ejecutarlo. Se separan a propósito: el dropper es barato de rehacer, así que se le cambian el nombre y el hash en cada entrega para que las listas de bloqueo no sirvan, mientras el payload de verdad se mantiene. Cuando el que descarga es una fase algo más elaborada se le suele llamar loader.

ELF: Un binario es un programa en su forma final, traducido a instrucciones que el procesador entiende directamente — ilegible para una persona sin herramientas. En los sistemas Linux (y en casi todo el malware de la bitácora) ese fichero sigue el formato ELF. Cuando un atacante suelta su bicho, lo que llega es un binario ELF; abrirlo y entenderlo es el trabajo de los capítulos de ingeniería inversa.
entropía: La entropía mide cuánto se parecen unos datos al puro azar. Un texto normal tiene entropía baja (patrones, repeticiones); algo cifrado o comprimido, entropía alta (ruido sin estructura). En ingeniería inversa es una brújula: barriendo la entropía de un binario, un pico delata dónde hay algo escondido —una clave, un bloque cifrado, una tabla—. En los capítulos de RedTail, un barrido de entropía fino destapa una tabla oculta entre los datos.

fork: Un fork («bifurcación») es lo que pasa cuando alguien toma el código fuente de un programa y empieza a cambiarlo por su lado, sin volver al original. En el malware es la norma: cuando el código de Mirai se filtró en 2016, cualquiera pudo compilarse el suyo, quitarle lo que no le servía y añadirle lo que quisiera. Por eso hay decenas de familias que son, por dentro, el mismo esqueleto. Y por eso decir «es un fork de Mirai» describe de dónde viene el código — no quién lo maneja.

Ghidra: Ghidra es un programa de ingeniería inversa: coge un binario compilado —ceros y unos que la máquina entiende pero una persona no— y lo traduce a algo legible, para poder seguir qué hace instrucción a instrucción. La publicó la NSA estadounidense y es gratuita. En esta bitácora es la mesa de disección: con ella se destapan el cifrado, el C2 y el propósito real de cada muestra.

hash de Pearson: El esquema de Pearson usa una tabla de 256 bytes —una permutación de todos los valores posibles— para transformar datos: cada byte de salida es T[h ⊕ c], donde h arrastra el resultado anterior. Es una sustitución encadenada, barata y no criptográfica, típica de hashes rápidos y de ofuscación. Se distingue de RC4 —que también lleva una tabla de 256 bytes— en que Pearson solo lee la tabla, mientras que RC4 la reescribe (un swap) en cada byte de salida.
honeypot: Un honeypot ("tarro de miel") es una trampa. Finge ser un servidor, un teléfono o un dispositivo real y vulnerable, pero no guarda nada importante: está ahí para que los atacantes lo encuentren y lo golpeen mientras tú miras. Todo lo que hace un intruso dentro queda anotado, y como nadie legítimo tiene motivo para tocarlo, cualquier actividad es, por definición, sospechosa. Es la fuente de casi todo lo que se cuenta en esta bitácora.

ingeniería inversa: La ingeniería inversa es el arte de ir hacia atrás: partir de un producto terminado —aquí, un malware del que solo tienes el ejecutable— y reconstruir qué hace y cómo, sin manual ni código fuente. Es lo que ocurre en los capítulos «con Ghidra»: abrir el binario, descifrar sus secretos y contar su mecanismo. Requiere paciencia y método, y a veces topas con una pared.
INVITE: INVITE es el mensaje SIP que inicia una llamada: "desde esta extensión, marca a este número". En manos legítimas monta tu llamada de todos los días. En manos de un defraudador de IRSF, es la herramienta con la que, una vez colada en una centralita, la hace marcar miles de veces a sus números de tarificación. En la bitácora, un aluvión de INVITE al mismo número es la firma de un ataque en marcha.
IOC: Un IOC (Indicator of Compromise) es una pista técnica y concreta que delata una amenaza: la IP de un servidor de mando, el dominio al que llama un bicho, el hash de un fichero malicioso. Publicarlos permite que otros los busquen en sus propias redes y detecten o bloqueen lo mismo. Cada capítulo cierra con su tabla de IOCs precisamente para eso: para que el hallazgo sirva más allá de este cebo.
IoT: IoT (Internet of Things, el internet de las cosas) es todo el enjambre de aparatos conectados que no son ordenadores ni móviles: cámaras de vigilancia, routers, televisores, enchufes, grabadores. Suelen ser baratos, no se actualizan nunca y llevan contraseñas de fábrica — el blanco perfecto para las botnets, que los infectan a millones para montar sus ataques. Las familias de los primeros capítulos viven de esto.
IRSF: IRSF (International Revenue Share Fraud) es un fraude telefónico. Existen números que reparten dinero: cada vez que alguien los llama, la operadora paga una comisión a quien controla ese número. El defraudador alquila uno de esos números y, para cobrarse a sí mismo, necesita generar llamadas hacia él en masa. ¿Cómo? Buscando centralitas ajenas mal configuradas y engañándolas para que cursen las llamadas — y para que la factura la pague su dueño. Es el motor del capítulo 9 y del 14.

jadx: jadx es un decompilador de Android: coge un APK (que por dentro va en un bytecode que la máquina entiende y una persona no) y lo reconstruye en algo parecido al código Java original, legible. Es el Ghidra del mundo Android: con él se abren Sysorbit y el minero de Trinity para ver qué piden, a dónde llaman y cómo se esconden. No siempre sale limpio —el malware se ofusca—, pero es el punto de partida.

loader: Un loader (o dropper) es la avanzadilla: un programa ligero que, una vez dentro, se encarga de traer y ejecutar la carga útil real —el minero, el bot, lo que sea—. Suele ser lo primero que cae en el cebo. Los loaders cambian de forma constantemente (su hash varía en cada descarga) para esquivar las listas negras, así que reconocerlos por el hash no vale: se los caza por su comportamiento o por el C2 al que llaman.

MalwareBazaar: MalwareBazaar, del proyecto abuse.ch, es un almacén abierto de muestras de malware. Quien caza un binario lo sube con su hash, su familia y sus etiquetas, y a partir de ahí lo tienen a mano los antivirus, los equipos de respuesta y cualquiera que investigue. Su valor es doble: sirve para comprobar si algo ya es conocido —si el hash no está, o nadie lo ha visto o acaba de nacer— y para que lo que uno caza no se quede muerto en su propio laboratorio. Es el sitio al que van a parar las muestras de esta bitácora.
Mersenne Twister (MT19937): El Mersenne Twister (su versión clásica, MT19937) es un generador de números pseudoaleatorios: partiendo de un número inicial —la semilla— produce un chorro de bytes que parece aleatorio pero es determinista, siempre el mismo para la misma semilla. No es criptográficamente seguro, pero como clave improvisada resulta cómodo: si ciframos aplicando esa secuencia byte a byte con XOR, cualquiera que conozca la semilla la reproduce y descifra. Se le reconoce por una constante característica en su arranque, 0x6c078965.
minero: Un minero (o cryptominer) es el software que produce criptomoneda resolviendo cálculos matemáticos a destajo, un trabajo que devora procesador y electricidad. En manos de un atacante es la carga útil del cryptojacking: se instala en la máquina comprometida y mina sin descanso para la cartera del intruso. XMRig es el minero de Monero más habitual en estas páginas.
Monero: Monero es una criptomoneda como Bitcoin, pero con una diferencia clave: está diseñada para que las transacciones sean anónimas e imposibles de rastrear en una cadena pública. Eso la vuelve ideal para el crimen: el minero de un atacante genera Monero y nadie puede seguir a dónde va el dinero. Casi todo el cryptojacking de la bitácora —RedTail, Trinity— mina Monero.

nodo de salida proxy: Un nodo de salida proxy es un servidor que alquila (o presta a la fuerza) su conexión a internet para que el tráfico de otras personas salga a la red haciéndose pasar por él. Sirve para ocultar el origen real: quien lo usa aparece con la IP del nodo, no con la suya. Se reconoce porque una misma máquina tiene miles de puertos abiertos, algo que no encaja con un servidor normal. En el capítulo 14, las máquinas que más llamadas fraudulentas bombean resultan ser también nodos de salida — un mismo servidor, dos negocios sucios montados encima.
nonce: Un nonce (del inglés number used once) es el acompañante de la clave en los cifrados modernos. La clave es secreta y dura; el nonce cambia en cada mensaje y sirve para que dos textos idénticos no produzcan el mismo cifrado — que es justo la grieta por la que se rompen los cifrados caseros. No es secreto: puede ir a la vista, incluso escrito dentro del propio binario. Pero hace falta para descifrar, así que publicarlo es lo que convierte un hallazgo en algo que otro puede reproducir.

ofuscación: La ofuscación es el arte de esconder a plena luz: el programa funciona igual, pero está escrito de forma deliberadamente enrevesada para que el analista se pierda. Cadenas cifradas, funciones que dan mil rodeos, nombres cambiados por basura. Herramientas como OLLVM lo hacen en automático. En el capítulo 13, Trinity venía ofuscado tres veces; buena parte del trabajo fue deshacer esas capas.
OLLVM: OLLVM (Obfuscator-LLVM) es una modificación del compilador que, al construir un programa, lo enreda a propósito: aplana el flujo, mete ramas falsas, cifra cadenas. El resultado hace lo mismo pero es un infierno de leer. El malware lo usa para frenar la ingeniería inversa. En el capítulo 13, una de las capas de blindaje de Trinity es precisamente OLLVM, y deshacerla fue parte del trabajo.
OSINT: OSINT (Open Source Intelligence) es sacar conclusiones a partir de información que ya es pública: registros de quién posee una IP o un número, buscadores, bases de datos de terceros, listados oficiales. La clave, y la línea ética de esta bitácora, es que es pasivo: se consulta lo que está abierto, nunca se sondea ni se ataca la infraestructura del otro. Todo lo que se averigua aquí sobre los atacantes se averigua así.

pool: Un pool de minería es una cooperativa: como minar en solitario casi nunca toca premio, muchos mineros unen su potencia en un pool, resuelven juntos y reparten lo que sacan según lo que aporta cada uno. El malware de cryptojacking normalmente apunta su minero a un pool público (o a uno propio), y ver a qué pool y con qué cartera conecta es lo que revela a dónde va el dinero robado.
proxyjacking: El proxyjacking es un fraude parásito: un atacante entra en la máquina de otra persona y, sin que el dueño lo note, la enrola en un servicio que revende su ancho de banda como proxy. El intruso cobra por el tráfico ajeno que pasa por esa conexión, y la víctima paga la factura de internet y carga con lo que otros hagan a través de su IP. Es primo del minado clandestino, pero en vez de robar CPU roba conexión. En el capítulo 14 se distingue de un nodo de salida montado a propósito: proxyjacking es cuando la máquina es una víctima secuestrada, no alquilada por el propio defraudador.

qemu: qemu es un emulador de máquinas: finge ser un procesador distinto al tuyo para poder ejecutar binarios compilados para otras arquitecturas —el ARM de un móvil, el RISC-V de un cacharro IoT, el MIPS de un router— en un PC normal. En el análisis de malware es utilísimo: mucho de lo que cae en el cebo no corre en un x86 de escritorio, y qemu permite ejecutarlo en un entorno controlado para ver cómo se comporta.

RandomX: RandomX es el algoritmo con el que se mina Monero. Está pensado a propósito para funcionar bien en CPUs corrientes y mal en el hardware especializado (los ASIC) que domina otras criptomonedas. El efecto secundario: cualquier ordenador o servidor sirve para minarlo, lo que lo vuelve perfecto para el cryptojacking — el minero del malware exprime el procesador de la víctima justamente porque RandomX está hecho para eso.
RDAP / WHOIS: Cada dominio y cada bloque de direcciones está anotado en un registro público. WHOIS es el sistema clásico de consulta y RDAP su versión moderna, la que devuelve datos estructurados. Sirve para saber cuándo se registró un dominio, quién tiene asignado un rango de IPs, a qué organización pertenece un número de red y qué buzón de abuso responde por él. Con los dominios hay un límite: desde el RGPD casi todos los datos personales van tachados, así que WHOIS ya no dice quién registró qué. Con las IPs y los ASN, en cambio, sigue siendo una mina: ahí los titulares son organizaciones y salen con nombre y fecha.
REGISTER: REGISTER es el mensaje con el que un dispositivo SIP se da de alta en una centralita: "soy la extensión tal, aquí estoy". Es legítimo y necesario. Pero un atacante lo convierte en fuerza bruta: manda miles de REGISTER probando números de extensión (200, 201, 1001…) hasta dar con uno que exista y no pida contraseña. Es el equivalente telefónico a probar el pomo de todas las puertas.

SHA-256: Un hash es una huella: se pasa un fichero por una función matemática y sale un código de longitud fija (el SHA-256, por ejemplo, siempre 64 caracteres) que identifica ese fichero exacto. Cambia un solo bit y el hash es completamente distinto. Sirve para reconocer una muestra de malware sin distribuirla: se comparte su hash, no el binario. Por eso las tablas de IOCs de cada capítulo llevan el SHA-256 de la muestra.
Shodan: Shodan es como un Google de las máquinas: en vez de páginas web, rastrea internet y cataloga los dispositivos conectados y los servicios que exponen —qué puertos tienen abiertos, qué versión de software corren—. Los investigadores lo usan para medir la superficie de un problema (cuántos aparatos vulnerables hay ahí fuera); los atacantes, para encontrar víctimas. En el capítulo 13 se cita Shodan para estimar cuántos aparatos estaban expuestos a Trinity.
símbolos (stripped): Al compilar un programa, el binario puede conservar una tabla con los nombres originales de sus funciones y variables. Es lo que usan los depuradores. Quien reparte malware la borra siempre —se dice que el binario va «stripped»— porque esos nombres cuentan de golpe lo que hace cada trozo y de qué código viene. Un binario sin strippear regala el análisis: en lugar de una función anónima en una dirección de memoria, se lee «attack_tcp_syn». También pesa bastante más, así que un fichero que abulta de más entre sus hermanos suele delatarse solo.
SIP: SIP (Session Initiation Protocol) es el protocolo estándar de la telefonía por internet. No transporta la voz en sí, sino que se encarga de la coreografía: iniciar una llamada, hacer sonar el otro lado, negociar por dónde irá el audio y colgar al final. Cuando un atacante quiere abusar de una centralita, es con mensajes SIP con lo que habla: pide registrarse, pide llamar. Verlo es entender el ataque.
SSH: SSH (Secure Shell) es el protocolo con el que se entra en un servidor por línea de comandos de forma cifrada, para administrarlo en remoto. Es imprescindible y seguro… si la contraseña es fuerte. Cuando no lo es, se convierte en la entrada favorita de los atacantes, que prueban usuarios y claves comunes a lo bruto hasta colarse. Varias víctimas de la bitácora fueron comprometidas, con toda probabilidad, por un SSH con credenciales flojas.
strings: strings es una utilidad clásica de Unix que recorre un fichero y escupe todas las cadenas de texto imprimible que encuentra — mensajes, rutas, dominios, comandos. En el análisis de malware es el primer gesto: antes de abrir nada con Ghidra, un strings rápido a veces ya te enseña el C2, una URL o una pista del propósito. Si el binario está empaquetado o cifrado, strings no ve casi nada — y ese silencio también es información.
sumidero: Un sumidero (sinkhole) es una operación de desvío: alguien —un CERT, una empresa de seguridad, a veces la policía— se hace con el dominio que usaba una botnet y lo apunta a un servidor propio. A partir de ahí, cada máquina infectada que llama a casa queda contada, y las órdenes que esperaba ya no llegan. A veces basta con pagar un dominio que el operador dejó caducar. Se reconocen porque contestan a todo, en cientos de puertos, sin hacer nada con lo que reciben: están ahí para escuchar, no para responder.

telnet: Telnet es el abuelo del acceso remoto: sirve para conectarse a un dispositivo por red, pero manda todo en claro y sobrevive sobre todo en cacharros viejos de IoT que aún lo llevan abierto con la contraseña de fábrica. Las botnets como Mirai lo saben: escanean internet buscando telnet abierto, prueban «admin/admin» y contraseñas de manual, y en cuanto entran suman el aparato a su ejército.
traffic pumping: El traffic pumping (o generación artificial de tráfico) consiste en dirigir masas de llamadas hacia números que reparten ingresos, para embolsarse una comisión por cada una. Se parece al IRSF, pero con una diferencia de estilo: el IRSF clásico apunta a destinos exóticos y de alta tarifa; el traffic pumping puede ir contra numeración occidental de aspecto perfectamente normal, precisamente para no llamar la atención. La mecánica de dinero es la misma —cobrar de la cadena de facturación—; cambia el disfraz del destino.
transparencia de certificados (CT): Desde 2018 los navegadores solo aceptan un certificado HTTPS si consta en unos registros públicos y de solo añadir: los logs de Certificate Transparency. Se inventaron para pillar certificados emitidos de forma fraudulenta, pero tienen un efecto secundario muy útil para investigar: cada vez que alguien estrena un dominio con HTTPS —incluso automáticamente, como hace Cloudflare— queda una entrada fechada que el dueño del dominio no controla ni puede borrar. Es un reloj ajeno. Ojo con leer la fecha equivocada: el campo «not_before» del certificado suele estar antedatado por la autoridad para absorber desfases de reloj; la hora honesta de «esto apareció en público» es la de la entrada en el log.
TTL: El TTL (Time To Live) es un número que cada paquete de red lleva y que se reduce en uno por cada router que atraviesa; al llegar a cero, el paquete se descarta (evita que dé vueltas para siempre). Lo interesante para un analista es su valor de partida: distintos sistemas operativos usan valores iniciales distintos (Linux, Windows…), así que, descontando los saltos del camino, el TTL da una pista — no una certeza — de con qué máquina hablas.

UPX: Empaquetar un binario es envolverlo en una capa que lo comprime y lo desdibuja: al ejecutarse se descomprime solo en memoria, pero en disco no se ven sus cadenas ni su estructura. UPX es el empaquetador libre más usado, tanto por programas legítimos como por malware que quiere estorbar el análisis. El primer paso al abrir muchas muestras es desempaquetarlas para poder leerlas.
User-Agent: El User-Agent es una cadena de texto con la que un cliente se identifica al conectarse: qué programa es y qué versión. Un navegador dice "Chrome"; una herramienta de escaneo suele decir su propio nombre. Es útil para clasificar tráfico, pero cualquiera puede escribir en él lo que quiera — por eso una atribución seria nunca se apoya solo en el User-Agent. Curiosamente, casi nadie falsea el nombre de un escáner: eso solo te delata.

VirusTotal: VirusTotal es el mostrador común de la industria antivirus: se le da un fichero, o simplemente su hash, y devuelve qué dice de él cada uno de sus más de setenta motores, junto a las relaciones que le conoce —a qué direcciones habla, desde qué servidores se ha servido— y los informes de las cajas de arena que ya lo han ejecutado. Consultar por hash no sube nada: si la muestra ya está ahí, en segundos se sabe de qué familia es y desde cuándo es pública. Es la pregunta más barata que se le puede hacer a un binario.
VPS: Un VPS (Virtual Private Server) es un ordenador que alquilas en el centro de datos de un proveedor, normalmente por poco dinero al mes y con solo dar una tarjeta. Para un aficionado es donde montar su honeypot; para un atacante, una máquina barata, casi anónima y de usar y tirar desde la que operar: cuando una cae o la bloquean, levanta otra. Casi toda la infraestructura de ataque que aparece en la bitácora vive en VPS de este tipo — a veces ajenos y comprometidos, de gente que no sabe que su servidor está en manos de otro.

XMRig: XMRig es un programa libre y legal para minar Monero, hecho para quien quiere minar en su propio equipo. El problema es que, al ser abierto y eficaz, es también el minero que casi todo el malware de cryptojacking embute en las máquinas que compromete. Cuando en un capítulo aparece XMRig, no es que el atacante lo escribiera: lo cogió hecho y lo puso a minar para él.
XOR: El XOR es una operación lógica básica que, aplicada byte a byte con una clave, mezcla un texto hasta volverlo ilegible; aplicada otra vez con la misma clave, lo devuelve tal cual. Por barato y reversible, es el cifrado casero favorito del malware para ocultar datos que no quiere enseñar —el dominio de su C2, sus órdenes— dentro del propio binario. Descubrir la clave y deshacer el XOR es un momento habitual en los capítulos de Ghidra.

YARA: YARA es el lenguaje estándar para describir «cómo se reconoce este bicho». Una regla enumera señas concretas —una cadena de texto, una secuencia de bytes, una constante— y da por buena la muestra cuando encuentra las suficientes. Se usa para clasificar ficheros a escala: los repositorios públicos pasan miles de reglas a cada muestra que reciben y así le ponen nombre de familia. La ventaja sobre la etiqueta de un feed es que la regla dice exactamente por qué: mira dentro del fichero, no copia lo que dijo otro.