Etiqueta
OSINT
todos los capítulos
- Capítulo 14 La fábrica de llamadas En el capítulo 9 alguien intentó que mi centralita pagara sus llamadas. Lo conté y cerré el incidente, con una pregunta colgando: ¿quién estaba al otro lado? Esta vez no me quedé mirando por la ventanilla. Le puse memoria al cebo, seguí el rastro del número y descubrí por qué eligen justo esos números.
- Capítulo 16 El inquilino que llevaba once años Un bot entró en mi cebo, estuvo 62 segundos y se fue. Lo catalogué como Gafgyt y me equivoqué. Una semana después tiré del hilo de sus servidores de mando y acabé en una operación que lleva viva desde 2015, y que ya tenía en la mano desde el primer día.
- Capítulo 17 Recién salido del horno Un domingo tranquilo, mi alarma de binarios nuevos saltó tras días muda. El primer pensamiento fue el mejor de todos: algo fresco. Lo que vino después fue una montaña rusa - un viejo conocido, un falso positivo que casi me la cuela, y por fin un bicho que no figuraba en ningún repositorio público, cazado a menos de treinta horas de nacer.
- Capítulo 20 Doce coartadas y un buzón El capítulo anterior dejó una pregunta que el binario no responde: de los trece servidores STUN a los que Cling baliza, uno tiene que ser el buzón del operador (porque el bot solo le anuncia sus puertos a esos trece, a nadie más), pero los trece parecen proveedores de VoIP inocentes. No lo cacé emitiendo una orden; lo encontré por descarte y por exclusividad, mirando con registros públicos quién habla con cada uno. Doce tienen coartada. El decimotercero, no.
- Capítulo 25 Veinte euros al día El destripe me dejó una cartera de Monero y una pregunta que el binario no contesta: cuánto lleva ganado esto. Monero está hecho para que no se pueda mirar un saldo - pero el pool contra el que minan publica estadísticas por cartera, y eso es una página abierta. Lo que salió al preguntar: una caja cobrando desde enero de 2021, otra que ya estaba encendida meses antes de aparecer en las muestras, unos veinte euros al día, y una factura de la luz que pagan las víctimas y que dobla lo que ingresa el operador.
- Capítulo 28 La cartera que nunca viaja Los dos capítulos anteriores dejaron el kit desmontado pieza a pieza, y una pregunta sin responder: a quién le paga. Fui a buscarlo. Y me encontré con un diseño que lo impide - la configuración de minado no viaja nunca dentro del bicho, se descarga después - y con un andamio que alguien ya había desmontado. Esto es la persecución, lo que sí planta cuando le dejas correr, y hasta dónde llega lo que puedo demostrar sobre quién hay detrás.
- Capítulo 30 El casero del C2 En el capítulo anterior abrí a shem por dentro, pero me quedé con una espina: su centro de mando es una IP pelada, sin dominio, así que no podía seguir al operador. Tiré igualmente de esa IP. Y lo que aparece al otro lado no es el operador, sino su casero: un bloque de hosting a prueba de balas que se cambia de nombre y de matrícula para no dejarse coger, que alquila a media docena de botnets a la vez, y que tira el servidor a los diez días.
- Capítulo 31 Una puerta, tres visitantes Cuarenta megas de binario que no se dejan abrir: el descompilador los mira y dice que no. Antes de forzar esa puerta, lo aburrido y necesario, quién los trajo hasta aquí.
- Capítulo 33 DIICOT: Sabor Ciocolata Casi tres megas que hacen una sola cosa: llamar a casa, decir dos palabras y esperar diez segundos a que alguien conteste. Si nadie lo hace, se va sin dejar rastro. Pero dentro, cifrada de otra forma, lleva una segunda dirección: un dominio que nadie ha registrado. Y el resto del programa cabe en una línea de shell.
- Capítulo 34 DIICOT: Una sílaba de diferencia El ejecutor del capítulo anterior llama a una máquina que ya conocía y guarda de reserva un dominio que se parece demasiado a otro que sí existió. Tirando de esa sílaba de diferencia aparecen su hermano mayor, el C2 anterior y el hueco por el que entra en las víctimas. Al final, le pregunté al otro lado qué manda.