Christian Márquez,
tty503

Escritos

Artículos técnicos, series de investigación y notas de proceso. Sin artificios: cada afirmación tiene evidencia o no está.

• Threat Intelligence · 2026-10-15 · 20 min
  Fraude cripto y phishing: dos casos con IoCs y grafo de infraestructura
  Deconstruccion de un exchange falso con frontend SPA, WebSocket en tiempo real y la clave del captcha entregada en el propio JSON, y de una fuga de datos por modo depuracion activo en produccion. IoCs, dominios y wallets.
  ti
• Agentes · 2026-09-24 · 6 min
  Cómo trabajo con agentes de IA locales: arquitectura, memoria y resultados
  Dos o mas analistas especializados en paralelo sobre la misma pregunta, un registro de memoria compartido que indexa hechos y lecciones, y un modelo pequeno haciendo el trabajo repetitivo en la propia maquina.
  guide
• Vulnerability Research · 2026-09-02 · 35 min
  Cinco clases de sink pre-auth en daemons C embebidos
  Del primer paquete de un handshake a un interprete de comandos: cinco cadenas reales de inyeccion en daemons C de firmware de router, con la clase de vulnerabilidad, el punto de entrada y el alcance honesto de cada una. Sin nombres de proyecto: el metodo es lo que se publica.
  rce
• Vulnerability Research · 2026-08-21 · 51 min
  Cazar con IA local: pipeline, triaje y seis hallazgos verificados
  Arquitectura de un sistema de caza autonomo sobre hardware propio, el metodo de triaje con doble validacion, y seis hallazgos con reproduccion en bibliotecas y demultiplexadores del sistema.
  rce
• Herramientas propias · 2026-07-05 · 21 min
  SAINT GRAIL: plataforma modular de investigacion de seguridad con IA
  La version reescrita en Go por rendimiento y concurrencia nativa, con dos hallazgos reproducibles generados por IA y una validacion debil en un gestor de archivos. Codigo publico: arquitectura, integraciones y lo que costo reescribirlo.
  guide
• Seguridad OT · 2026-06-05 · 86 min
  Seguridad OT: S5/S7, la maquina virtual MC7 y la ausencia de logs en ICS
  De STEP5/AWL a STEP7, la maquina virtual MC7 y su reversing de bytecodes, exploit development sobre PLC, un sandbox escape con ejecucion nativa en kernel, ROP sobre MC7 y por que las ICS carecen estructuralmente de registro de auditoria.
  infra
• Exploit Development · 2026-06-04 · 44 min
  Exploit development y reversing: kernel de Windows, ROP de 64 bits y Assembly
  Bitacora de un mes de laboratorio: internals de Windows, drivers KMDF y UMDF, formatos PE/ELF/DEX, convenciones de llamada, construccion de shellcode, ROP en 64 bits y heuristicas para identificar funciones.
  infra
• Blue Team · 2026-06-01 · 55 min
  Tres tecnicas clasicas y como se detectan: sudo, Windows y evasion de opcodes
  El mecanismo de cache de sudo como via de persistencia, inyeccion y persistencia en Windows, y la reescritura de opcodes que llevo las detecciones de 16 a cero con la misma logica. Cada tecnica con los indicadores que deja y la regla de deteccion del lado defensivo.
  ti
• Threat Intelligence · 2026-05-24 · 33 min
  Campanas de phishing conectadas y el metodo de busqueda de amenazas: cuatro investigaciones
  Redireccion multi-capa con exfiltracion a canales de mensajeria, una SPA con geofencing, y la bitacora de un ano de caza: mapa OSINT de una red de estafa, fraude con un stealer, un RAT comercial y un dropper multi-etapa. Lo que conecta las cuatro.
  ti
• Infraestructura · 2026-05-24 · 20 min
  Laboratorio de seguridad: SOC con honeypots y tuneles ofuscados
  Montaje completo de un laboratorio Blue Team sobre Proxmox con honeypots, contenedores rootless y monitoreo, mas el montaje de un tunel que se camufla como TCP con enmascaramiento de IP y DNS cifrado. Arquitectura y despliegue automatizado.
  infra
• Herramientas propias · 2026-05-15 · 8 min
  analystty: triaje automatizado de ejecutables PE con Python
  Extrae imports, correlaciona TTPs con MITRE ATT&CK, desensambla la seccion .text y genera breakpoints para el depurador. Un caso real: un dropper que ocultaba sus imports con hashing de API.
  ti
• Pentesting · 2024-08-15 · 8 min
  Pentest a API financiera: IDOR por validacion incompleta de JWT
  Auditoria donde el backend validaba la firma del token pero no la pertenencia del recurso: la criptografia estaba bien, la autorizacion no. Recorrido del hallazgo, impacto y como se corrige.
  infra

Proyectos

Herramientas propias y flujos automatizados que mantengo y documento.

Sobre este sitio

Aprendo en público, sin prometer lo que no he medido. Aquí se explica la arquitectura de mis agentes, se muestran hallazgos verificados y se omite lo que no debe publicarse aún.

Sobre mí