Todo contacto deja rastro
Criminología y criminalística para leer un incidente como lo que es: una escena del crimen con víctima, autor, móvil y oportunidad.
Rocío Benigar
Diego Staino
Esta charla nace de una sospecha: que la mitad de las preguntas que nos hacemos frente a un incidente ya se las hizo alguien, hace cien años, frente a un cuerpo.
No somos abogados. Ni queremos serlo.
Vamos a usar palabras del derecho penal —crimen, dolo, culpa— como herramientas para pensar, no como dictamen. Cada país las define a su manera.
Sabemos cómo entraron. Casi nunca sabemos por qué vinieron.
Un informe de incidente promedio describe con precisión quirúrgica un vector, un hash y una hora. Y no dice una palabra sobre la decisión que llevó a alguien hasta ahí.
Son dos ciencias distintas y las usamos como si fueran una
¿Qué pasó y cómo? Ciencia exacta aplicada a la evidencia. Reconstruye el hecho a partir de lo que quedó.
Método, instrumentos, trazabilidad. Su producto es una reconstrucción defendible.
→ Tu DFIR, tu timeline, tus artefactos.
¿Por qué pasó y quién? Ciencia social. Estudia el crimen como fenómeno: causas, motivación, mercado, contexto.
Teoría, población, patrones. Su producto es una explicación y una predicción.
→ Tu CTI estratégica, tus actores, tu priorización.
La escena, traducida
| Escena del crimen | Incidente | Quién lo trabaja |
|---|---|---|
| La víctima | Activo comprometido, dato exfiltrado, servicio caído | Negocio + IR |
| El arma | Malware, herramienta legítima, credencial válida | Malware analysis |
| La huella | Hash, certificado, mutex, artefacto único e irrepetible | Forense |
| Los testigos | EDR, netflow, proxy, DNS, logs de identidad | SOC |
| El modus operandi | TTPs — lo que necesita hacer para lograrlo | Detección |
| La firma | Lo que hace aunque no lo necesite | CTI · agrupamiento |
| El móvil | Dinero, espionaje, disrupción, ideología, ego | CTI estratégica |
| La oportunidad | Superficie expuesta + guardián ausente + ventana temporal | Gestión de exposición |
| La cadena de custodia | Procedencia, integridad y vigencia del indicador | Todos, y nadie |
| El expediente | El informe que alguien va a leer sin haber estado ahí | El analista |
Todo contacto deja un rastro.
Locard, 1910. Un siglo después sigue siendo el principal axioma del oficio: el atacante siempre se lleva algo y siempre deja algo. En digital el rastro existe — el problema es que es barato de borrar, caro de retener, y casi nunca lo estaba mirando alguien.
Para que haya crimen tienen que converger tres cosas
- Ofensor
- No lo controlás. Ni siquiera lo conocés. Y su motivación es la variable que menos medimos.
- Objetivo
- Lo controlás a medias. Podés hacerlo menos atractivo, menos visible o menos concentrado.
- Guardián
- Es tuyo. Es el único vértice donde tu presupuesto realmente juega.
La misma escena, tres responsabilidades distintas
Sabía y quiso
Conoce el resultado y lo busca. El que exfiltra. El que cifra para cobrar el rescate. El que vende el acceso.
No quiso, pero llegó igual
Viola un deber de cuidado y produce el daño sin buscarlo. El bucket abierto. El que pega datos de clientes en una IA pública. El clic en el phishing.
Ninguna de las dos
Nadie podía preverlo ni evitarlo. Un zero-day explotado antes de que existiera el parche. Mucho más raro de lo que dice el primer borrador del informe.
Tres escenas. Mano arriba si hay dolo.
El servidor servicial
Un sysadmin deja Memcached escuchando en UDP abierto a internet. Seis meses después participa de un ataque de 1 Tbps contra un tercero.
Los cuarenta segundos
Un dev sube por error una clave de API a un repo público. Un bot la usa cuarenta segundos más tarde.
El contrato vencido
Un pentester sigue escaneando el lunes. El contrato venció el viernes. Nadie le avisó.
Vamos a levantar tres escenas con la misma ficha
Víctima
¿Qué se dañó, y de quién era?
Modus operandi
¿Qué necesitó hacer?
Firma
¿Qué hizo sin necesitarlo?
Móvil
¿Qué ganaba con esto?
Oportunidad
¿Qué guardián faltaba?
Dos años de buena conducta.
XZ Utils · CVE-2024-3094 · marzo de 2024
- Víctima
- Casi todo Linux. Una librería de compresión que, sin que nadie lo pensara, estaba en el camino de SSH.
- Entrada
- No fue un exploit. Fue una cuenta: alguien que colaboró durante años hasta quedar a cargo del proyecto.
- Arma
- Una puerta trasera escondida en el paquete publicado, no en el código que todos leen.
- Descubrimiento
- Suerte: un ingeniero notó que SSH tardaba medio segundo de más. Semanas antes de llegar a las versiones estables.
Primera contribución
Presión sobre el mantenedor
Control efectivo del proyecto
El payload entra al build
El crimen empezó tres años antes de la línea de código.
Premeditación: el tiempo invertido es la evidencia
Dolo, sin ninguna duda
Tres años de conducta coherente hacia un resultado. Ningún accidente sostiene esa trayectoria.
El guardián, no el objetivo
No buscaron un bug en xz. Buscaron el agotamiento de un mantenedor sin sueldo. Fue ingeniería social contra el control, no contra el sistema.
Acceso, no dinero
Sin monetización inmediata, con horizonte de años. Ese perfil de paciencia y presupuesto acota mucho la población de sospechosos. Sin atribución pública confirmada.
El guardián estaba. Estaba mal puesto.
Capital One · julio de 2019 · ~106 millones de personas
- Víctima
- Datos de solicitudes de tarjeta de crédito de ~106 millones de personas en Estados Unidos y Canadá.
- Autora
- Paige Thompson, ex empleada del proveedor de nube. Una amenaza interna, pero de otra organización. Condenada en 2022 por acceso no autorizado y fraude informático.
- Modus operandi
- SSRF contra un WAF mal configurado → credenciales temporales del rol de la instancia desde el servicio de metadatos → permisos de más → listar y copiar objetos de S3.
- Detección
- No fue el SOC: nadie vio salir los datos. Fue un correo de un tercero, meses después: la autora había dejado rastros en canales públicos.
- Consecuencia doble
- Condena penal para la autora. Para el banco, responsabilidad regulatoria: una multa del orden de 80 millones de dólares.
Insider del proveedor: conocía el barrio
Datos monetizables, concentrados en un lugar
Presente en el organigrama, ausente en la ruta
Los tres vértices, alineados. Manual de actividades rutinarias.
Dolo de una persona, culpa de una organización
La criminología ambiental dice que el ofensor no delinque en cualquier lado: delinque donde ya se mueve, donde conoce las rutinas y las salidas.
Una ex empleada del proveedor de nube no eligió un banco al azar. Eligió el entorno que sabía leer. Tu modelo de insiders probablemente cubre a tus empleados; casi nunca a los ex empleados de tus proveedores.
El sistema penal juzgó el dolo: hubo intención, hubo apropiación, hubo condena.
El regulador juzgó la culpa: había un deber de cuidado sobre la configuración y no se cumplió. Nadie alegó que el banco quisiera la fuga.
Un mismo hecho, dos responsabilidades, dos remedios distintos. Si tu informe post-incidente sólo nombra al atacante, dejaste la mitad del expediente sin escribir.
El arma era de otro.
Amplificación por Memcached · febrero de 2018 · 1,35 Tbps contra GitHub
- Víctima visible
- GitHub. 1,35 Tbps durante unos minutos. Récord del momento.
- Víctima invisible
- Decenas de miles de servidores Memcached expuestos en UDP/11211, en organizaciones que nunca se enteraron de nada.
- Modus operandi
- Falsificar la IP de origen y pedir. El servidor responde a la víctima con un factor de amplificación de hasta ~51.000×: el atacante manda kilobytes, la víctima recibe gigabytes.
- El detalle
- A ninguno de esos servidores lo hackearon. Hicieron exactamente aquello para lo que estaban configurados.
- Móvil
- Disrupción, y en varias campañas del mismo período, extorsión: algunos ataques venían con nota de rescate incluida.
Dolo · elige la víctima y aprieta
Sin dolo · el servidor obedece
Culpa · el que lo dejó abierto
Tu informe tiene que distinguirlas, o le vas a poner la etiqueta de "atacante" a un servidor de Rosario.
El deber de cuidado no termina en tu perímetro
No alcanza con "que no me entren"
Hay un segundo deber, mucho menos financiado: no ser el arma. Nadie lo tiene en el tablero.
Toda la evidencia está en el egress
Los programas de seguridad miden lo que entra. En esta escena, el único rastro útil es lo que sale. Casi nadie lo mira.
La IP de origen es un testigo mentiroso
Todo el ataque se apoya en que el origen es falsificable. Si tu proceso de atribución empieza en una IP, empieza en el lugar equivocado.
Modus operandi y firma no son lo mismo
| Modus operandi | Firma | |
|---|---|---|
| Qué es | Lo que necesita hacer para lograr el objetivo | Lo que hace aunque no lo necesite |
| De dónde sale | Aprendizaje, función, eficiencia | Estilo, hábito, restricciones internas, herramienta preferida |
| ¿Cambia? | Sí — evoluciona con la experiencia y con tus defensas | Poco: cambiarla cuesta y no da beneficio |
| En tu stack | TTPs, ATT&CK, reglas de detección | Convenciones de nombres, errores tipográficos, husos horarios, reuso de infraestructura |
| Sirve para | Detectar | Agrupar y atribuir |
| La trampa | Se copia entre grupos: commodity, RaaS, filtraciones de builders | Se puede plantar a propósito — bandera falsa |
Como una colilla en la escena: "alguien fumó acá" describe a medio mundo. La marca, cómo la apagó y el ADN del filtro ya apuntan a una persona.
Cuatro formas conocidas de acusar al inocente
Confundir dos probabilidades
"El binario tiene cadenas en ruso." La pregunta no es qué tan raro es eso en un culpable, sino cuántos actores lo hacen. Sin la tasa base, la evidencia no dice nada.
El sospechoso que ya te caía bien
Una vez que el nombre entró en la sala, cada indicio nuevo se lee como confirmación y cada contraejemplo como excepción.
El primer nombre gana
El actor mencionado en el párrafo dos sobrevive intacto a las cuarenta páginas siguientes, aunque la evidencia se haya movido.
La firma plantada
Olympic Destroyer, 2018: artefactos sembrados deliberadamente para que la evidencia apuntara a otro grupo. Funcionó durante semanas.
Tres preguntas para el próximo incidente
¿Cuál era el móvil?
No el vector. El móvil. Si no podés contestarlo, no sabés si va a volver ni con qué.
¿Quién tuvo dolo y quién tuvo culpa?
Autor, instrumento y facilitador se mitigan distinto. Meterlos en la misma bolsa es cómo se pierden dos de las tres mitigaciones.
¿Esto lo vi o lo quería ver?
Separá lo que observaste de cuánta confianza tenés. Si el nombre llegó antes que la evidencia, desconfiá del nombre.
Si te quedaste con ganas
Cohen y Felson · 1979
Routine Activity Theory. Veinte páginas que explican por qué tu superficie de ataque importa más que tu atacante.
Heuer · Psychology of Intelligence Analysis
El manual de los sesgos del analista. Gratis, y ya tiene décadas de tener razón.
ICD 203 · Analytic Standards
Cómo se escribe una afirmación con confianza declarada sin quedar ni tibio ni mentiroso.
Diamond Model of Intrusion Analysis
La escena del crimen formalizada: adversario, capacidad, infraestructura y víctima.
Locard · principio de intercambio
El origen de todo esto, y todavía el mejor argumento para pagar retención de logs.
Brantingham · patrones del crimen
Por qué el crimen se concentra en lugares y no en personas. Traducilo a "activos" y se lee solo.
¿Y en tu último incidente, quién sostenía el arma?
Traigan la escena, la levantamos entre todos.
Apertura
Todo contacto deja rastro
01 / 26