Threat Hunter Recollection: Forjando un Perfil de Caza en el Laboratorio
Un Threat Hunter no se titula: se construye. Esta crónica recorre cinco investigaciones reales —del OSINT aplicado a una red de estafa piramidal al reversing de un RAT— para demostrar, con evidencias y comparativas con la industria, cómo se adquieren las habilidades que definen a un cazador de amenazas.
/índice_de_investigaciones +
- Esto No es un Informe: Es Mi Ruta de Aprendizaje
- Mapeando una Red de Estafa Piramidal Global (OSINT)
- Campaña Multi-Vector de Fraude Financiero (BEC + Lumma)
- Diseccionando Nexilo-CC-Checker (Ingeniería Inversa)
- Automatizando el Triage con Herramientas Propias
- Deconstruyendo NetSupport RAT (Kill Chain Completa)
- El Hilo que lo Conecta Todo
00. Esto No es un Informe: Es Mi Ruta de Aprendizaje
La memoria del cazador es frágil. Cada investigación genera un volumen de inteligencia que, si no se documenta, se evapora. Pero más allá de los IoCs y las TTPs, cada caso deja una skill grabada en el instinto. Esta recollection no es solo un compendio de hallazgos: es el mapa de cómo se construye un Threat Hunter desde el laboratorio.
A lo largo de cinco investigaciones independientes —publicadas originalmente en LinkedIn y X como La Red de Estafadores que Mapeé con VirusTotal, Exponiendo una Campaña Multi-Vector de Fraude Financiero, Análisis de Nexilo-CC-Checker, Detrás de Cámaras: Mi Triage y Deconstruyendo NetSupport RAT— fui adquiriendo las capacidades que hoy definen mi perfil: OSINT, ingeniería inversa, análisis de malware, automatización de triage, y threat intelligence aplicada. Cada sección de este artículo detalla no solo el caso, sino la skill que me dejó y cómo se compara con investigaciones de terceros que validan y amplifican el impacto.
01. Mapeando una Red de Estafa Piramidal Global
Esta fue la investigación que lo empezó todo. Mi primera gran lección en OSINT aplicado a threat hunting llegó con un mensaje sospechoso de un número sudafricano ofreciendo "clasificar hoteles en Google Maps" por una paga. Lo que comenzó como una curiosidad —y un hilo de X donde fui narrando el hallazgo en tiempo real— terminó revelando una red de estafa piramidal interconectada globalmente con ramificaciones en apuestas fraudulentas, exchanges falsos y robo de identidad corporativa.
Skill Adquirida: OSINT & Infrastructure Mapping Pivoting sobre IoCs Correlación de infraestructura Blockchain Forensics
Task Scams: El Contexto Global
Las estafas de tareas —task scams— son una epidemia documentada. La FTC reportó pérdidas de aproximadamente 220 millones de dólares en EE.UU. solo en el primer semestre de 2024 por esta modalidad. El patrón es siempre el mismo: pequeños pagos iniciales para ganar confianza, seguidos de una exigencia de "inversión" que nunca se recupera. Lo que hace única a esta variante es su capacidad para mimetizarse con oportunidades legítimas de trabajo remoto.
El Vector de Ingeniería Social: WhatsApp, Telegram y un Falso CEO
El primer contacto llegó desde el número +27610596209 de Sudáfrica, un país con un mercado de SIM swapping documentado como problemático por medios como MyBroadband. Por WhatsApp, y con un español perfecto, indicaban a la víctima que "acababa de ser seleccionado para un empleo" y que habían encontrado su contacto en Rekrute, una plataforma de empleo francesa legítima que había sufrido filtraciones de datos.
Tras el primer contacto, si la víctima realizaba su primer "trabajo" —clasificar hoteles en Google Maps—, le otorgaban un código para pasar a la siguiente fase: contactar con la "Asistente" y el "CEO" de la empresa vía Telegram. La operación se profesionalizaba en ese salto de plataforma: del mensaje informal de WhatsApp al entorno corporativo falso de Telegram.
Al visualizar el perfil del "CEO", los detalles empezaron a acumularse. El logotipo de la supuesta empresa WTNBIT era robado de Poloniex Exchange, simplemente renombrado. A las víctimas les indicaban que las ganancias serían pagadas en USDT a través de "su plataforma", un falso exchange que ellos mismos habían creado.
Todas las transacciones iniciales las hacían mediante bancos nacionales, con pequeños montos para generar confianza. Luego prometían ganancias exorbitantes, pero incitando a las víctimas a depositar fondos en su plataforma de "exchange". Una vez que el dinero entraba ahí, desaparecía. Era un esquema ponzi con fachada de empleo remoto, donde las propias víctimas se pagaban entre ellas en las primeras rondas.
La Revelación: Infraestructura Reciclada y Pereza Operacional
Al inspeccionar el código fuente de la plataforma fraudulenta en vcimp[.]h21t[.]top, encontré un nivel de pereza operacional que casi resultaba ofensivo. La plataforma era una simple plantilla HTML mal configurada que los estafadores reutilizaban para diferentes marcas de fraude. Las referencias a los mismos canales de Telegram, los mismos servicios de imágenes genéricas como picsum.photos, y las mismas hojas de estilo Bootstrap maliciosas alojadas en lib.sinaapp.com evidenciaban que todas las operaciones provenían del mismo grupo.
Los muy vagos no ofuscaron nada. Fue fácil recopilar tantos datos como pude. Encontré otra versión del mismo exchange falso, con un poco más de diseño pero exactamente igual en estructura, con el idioma predefinido en indonesio. Lo único en común: todo alojado en Hong Kong.
Investigadores de DomainTools y ThousandGuards han documentado cómo el clipboard poisoning y las páginas CAPTCHA falsas son utilizados en campañas de task scams para entregar malware como NetSupport RAT. Mi hallazgo sobre la reutilización de plantillas y la conexión con números sudafricanos añade una capa adicional: la infraestructura no solo se recicla para diferentes víctimas, sino para diferentes tipos de fraude (phishing laboral, crypto scam, apuestas fraudulentas). Esta transversalidad es un indicador de grupos criminales diversificados que operan múltiples líneas de negocio ilícito sobre la misma columna vertebral técnica.
El mapeo con VirusTotal Graph reveló una infraestructura sorprendentemente extensa pero mal asegurada: una serie consecutiva de dominios clonados (www.vcimpapp1.com hasta www.vcimpapp32.com) apuntando a IPs en Hong Kong con un error de base de datos MySQL expuesto.
La Conexión con ShinyHunters y la Filtración de Rekrute
¿Por qué Rekrute? Esta plataforma de empleo francesa fue víctima de una filtración masiva de datos unos años atrás. Entre las 8.225 bases de datos que el grupo ShinyHunters filtró y luego vendió en el mercado negro Empire, se encontraba la de Rekrute. Los estafadores no eligieron esa plataforma al azar: tenían acceso a una base de datos de personas buscando empleo remoto, el perfil perfecto para un task scam.
El gráfico de VirusTotal establecía un vínculo directo con ShinyHunters, con referencias a artículos de Cybernews, ZDNet y SecurityAffairs sobre filtraciones ejecutadas por este grupo. La base de datos de Rekrute utilizada para contactar a las víctimas había sido comprometida por este actor, demostrando cómo una filtración de datos puede convertirse en el insumo para campañas de fraude masivo meses o años después. Este mismo patrón de infraestructura descuidada y fugas de información es el que documenté en la Operación FakeWealth sobre cmdxcapital, donde un appDebug:true en Laravel expuso consultas SQL, tokens y rutas del servidor.
Este tipo de correlación entre actores de amenazas y fraudes posteriores es exactamente el trabajo de un Threat Hunter: conectar puntos que otros ven aislados. La filtración de Rekrute no era solo un incidente de pérdida de datos; era el insumo para una operación de fraude masivo que seguía activa años después del breach original. Entender el ciclo de vida de los datos filtrados —desde el breach hasta la monetización vía fraudes— es una skill crítica en threat intelligence.
La Vulnerabilidad Reveladora: OpenSSH 7.4
Varios servidores de la red compartían la misma versión de OpenSSH: la 7.4, lanzada en diciembre de 2016 y con múltiples CVEs conocidos. Lo que pensé que no tendría relación —servidores en Hong Kong con sitios de apuestas, exchanges falsos y portales de empleo fraudulentos— resultó estar conectado por un detalle técnico: todos compartían la misma versión de servicios, en especial OpenSSH 7.4. Aunque la vulnerabilidad presente en esa versión era una simple enumeración de usuarios sin capacidad de otorgar acceso remoto, la coincidencia confirmaba que todos eran administrados por el mismo grupo.
Los estafadores usaban un servicio de reventa de dominios barato que aceptaba pagos en Bitcoin y USDT. Al menos cuatro de los sitios en el diagrama compartían el mismo código fuente en index.html: una plantilla genérica con referencias al mismo backend, los mismos comentarios hacia el mismo canal de Telegram. No eran sitios aislados. Era la misma gente con nombres distintos.
Los ciberdelincuentes a menudo reutilizan infraestructura y dejan migas de pan. Una simple consulta de Shodan por la versión de OpenSSH, un vistazo al código fuente de una plantilla web, o la correlación de canales de Telegram entre diferentes dominios pueden exponer toda la red. La pereza operacional del adversario es una de las mayores ventajas del threat hunter. El gráfico completo de VirusTotal está disponible en mi post original de LinkedIn y el hilo de X donde narré el hallazgo en tiempo real está en @tty_503.
Esta investigación me dejó una lección que se convertiría en la columna vertebral de todos mis casos posteriores: la infraestructura es el talón de Aquiles del adversario. Pivotar sobre dominios, IPs, versiones de software y canales de Telegram no es una técnica sofisticada; es curiosidad sistemática. Y funciona.
02. Exponiendo una Campaña Multi-Vector de Fraude Financiero
Apenas unas semanas después del caso de la red de estafa piramidal, un hilo suelto en Telegram me llevó a una operación mucho más sofisticada. Esta investigación me obligó a desarrollar habilidades de análisis de infraestructura comprometida y rastreo financiero en blockchain.
Skill Adquirida: Threat Intelligence Análisis de Infraestructura Comprometida Blockchain Forensics
El Combustible: Lumma Stealer
El punto de partida fue un compromiso masivo de credenciales corporativas utilizando el infostealer Lumma Stealer, una pieza de malware que opera bajo un modelo de Malware-as-a-Service (MaaS). Lo que hace particularmente peligroso a Lumma es su capacidad para robar tokens 2FA y cookies de sesión, ampliando el radio de daño más allá del simple robo de contraseñas.
La operación Lumma había sido desmantelada parcialmente en mayo de 2025 con la incautación de 2.300 dominios. Sin embargo, como demostró esta campaña, el ecosistema MaaS es notablemente resiliente: para julio de 2025 ya mostraba signos de reactivación. Gen Threat Labs documentó posteriormente la aparición de Remus, la variante de 64 bits de Lumma que emergió en febrero de 2026 con técnicas como EtherHiding para resolver C2s.
Los takedowns de infraestructura son necesarios pero insuficientes. Lumma sobrevivió a la incautación de 2.300 dominios porque su modelo de negocio —desarrolladores que alquilan el malware a una red global de afiliados— no depende de una infraestructura fija. Esta comprensión de la resiliencia del ecosistema MaaS es fundamental para cualquier Threat Hunter: no basta con bloquear IoCs; hay que entender el modelo de negocio del adversario.
BEC e Infraestructura Robada en África
Con las credenciales robadas, los atacantes ejecutaron un Business Email Compromise (BEC) tomando control de servidores de terceros. El escondite: una VPS en Kenia con actividad en Truehost Cloud y Cloudpap.
La elección de infraestructura en países con marcos regulatorios menos estrictos no es casual. Es un patrón documentado en múltiples investigaciones de la industria: los actores de amenazas buscan jurisdicciones donde el derribo rápido de servidores sea menos probable.
Siguiendo el Dinero en la Blockchain
La fase de monetización utilizaba billeteras de criptomonedas para recibir los fondos. La dirección de Bitcoin bc1qxs8aunxd7kkdq8wz063r4tum2429s5llul33am mostraba movimientos entre el 8 y 9 de septiembre de 2025. Esta habilidad de blockchain forensics —rastrear transacciones en redes públicas para identificar patrones de fraude— es cada vez más demandada en threat hunting, especialmente en casos de ransomware y fraudes financieros.
Lumma Stealer (Credenciales) -> BEC (Infraestructura Robada) -> Crypto Scam (Monetización). Este patrón demuestra que un scam de baja complejidad es solo la punta del iceberg de una operación de robo de activos corporativos mucho más sofisticada. Compartí los IoCs completos en mi post original de LinkedIn.
03. Diseccionando Nexilo-CC-Checker: Ingeniería Inversa de un Dropper Multi-etapa
El tercer caso marcó mi entrada de lleno en la ingeniería inversa de malware. Un binario de 14.4 MB distribuido en canales de Telegram como herramienta de carding resultó ser un dropper multi-etapa que desplegaba una armada de seis payloads.
Skill Adquirida: Ingeniería Inversa (Ghidra/x64dbg) Análisis Estático de PE Detección de TTPs
Técnicas de Evasión: API Hashing
El binario utilizaba API Hashing para ocultar llamadas a funciones sensibles como IsDebuggerPresent. En lugar de incluirlas en la tabla de importaciones, las resolvía en tiempo de ejecución mediante hashes —la constante 0x2b992ddfa232 cargada en RAX— sin dejar cadenas visibles para el análisis estático. Esta técnica, documentada en profundidad por investigadores como Hasherezade, es una de las primeras barreras que un analista de malware debe aprender a sortear. El compendio de técnicas de inyección y evasión del C2 Builder documenta exactamente este mismo mecanismo desde la perspectiva ofensiva: cómo se implementa el API Hashing para evadir firmas estáticas.
La función FUN_140001010 constituía el punto de no retorno del dropper.
La Armada de Payloads y la Persistencia
El dropper liberaba seis payloads en AppData\Roaming con atributos de OCULTO + SISTEMA y nombres que imitaban procesos legítimos. La persistencia se lograba mediante la clave Run del Registro.
El análisis de inteligencia en Maltiverse confirmó posteriormente la clasificación como malicioso, vinculándolo a familias como Xworm, Svcstealer y Stealc, con actividad de red de RedLine Stealer y MetaStealer. Esta correlación entre mi análisis manual y las detecciones automatizadas de plataformas de threat intelligence valida la precisión del reversing y demuestra la importancia de combinar ambas aproximaciones.
04. Detrás de Cámaras: Automatizando el Triage con Herramientas Propias
El análisis de Nexilo-CC-Checker no fue un proceso pasivo. El binario usaba API Hashing, así que tuve que forzarlo a revelar sus secretos. Esta fase fue donde adquirí la habilidad de automatizar el triage con herramientas propias.
Skill Adquirida: Automatización de Triage Scripting en Bash para Volcado de Memoria Desarrollo de analystty (Python)
El Búnker: Proxmox VE
Todo análisis de malware con evasión comienza con una decisión de infraestructura. Mi elección es Proxmox VE: snapshots, rollbacks instantáneos y aislamiento total. Este mismo entorno de laboratorio está documentado en la guía de infraestructura ofuscada con WireGuard y proxy residencial que utilizo para todas mis investigaciones.
Forzando la Mano: dump.sh
Escribí un script de Bash —dump.sh— que orquestaba la ejecución del binario bajo depurador usando Radare2 para el dumping automático de memoria. El script se apoyaba en un archivo functions_to_dump.txt que mapeaba direcciones de memoria virtual de cada módulo.
analystty: La Navaja Suiza Personal
Con los dumps en mano, usé Ghidra para decompilar a pseudo-C. Pero el multiplicador de fuerza fue analystty, mi librería de Python que creé originalmente para estudiar ransomware Dvju y que adapté para acelerar la identificación de patrones maliciosos. La filosofía es simple: automatizar lo repetitivo para dedicar el tiempo humano a lo que requiere criterio.
En un ecosistema donde herramientas como IDA Python o Ghidra scripting dominan, construir una herramienta propia como analystty demuestra una capacidad que va más allá del uso de software: es la habilidad de resolver problemas de análisis con código. Esta skill —documentada en profundidad en analystty: Automatizando el Triage de Malware PE con Python, Capstone y x64dbg— es precisamente lo que diferencia a un analista de malware de un Threat Hunter que puede construir su propio arsenal.
05. Deconstruyendo NetSupport RAT: La Kill Chain Completa
La quinta investigación fue la más completa en términos de análisis de kill chain: desde el correo de phishing hasta la conexión C2, pasando por cada eslabón de la cadena de infección.
Skill Adquirida: Análisis de Kill Chain Completa Análisis de Cabeceras de Correo Identificación de LOLBins y DLL Sideloading
Contexto Global de NetSupport RAT
NetSupport Manager fue la séptima amenaza más prevalente en 2024. Cybereason documentó campañas que usaban sitios maliciosos de WordPress con CAPTCHAs falsos para entregarlo. ThousandGuards identificó clipboard poisoning combinado con PowerShell ofuscado. Mi investigación se sitúa en este contexto global, pero añade un vector de entrada específico: la suplantación de una marca española (Druni) con infraestructura nigeriana.
Evasión y Redirección
El enlace del correo llevaba a un script hreflon.htm alojado en Google Cloud Storage, abusando de servicios de confianza para evadir SmartScreen. Esta táctica de abuso de infraestructura cloud legítima es un patrón creciente documentado por múltiples investigadores.
El dominio intermedio gremorygame[.]net mostraba una fachada de "Coming Soon" mientras en el backend corría la lógica maliciosa. Esta técnica de ocultar infraestructura tras páginas señuelo es un patrón recurrente en campañas sofisticadas.
PowerShell Ofuscado y DLL Sideloading
El script file.ps1 utilizaba ofuscación simple pero efectiva, dividiendo cadenas como 'iw'+'r' para reconstruir Invoke-WebRequest. El payload final utilizaba DLL Sideloading sobre el ejecutable legítimo client32.exe de NetSupport Manager.
La Kill Chain Visualizada
El diagrama final unifica todos los hallazgos en una representación visual de la cadena de infección completa. Esta capacidad de comunicar hallazgos técnicos de forma visual es lo que permite a un Threat Hunter transmitir inteligencia accionable a equipos de respuesta, directivos y stakeholders no técnicos.
- Dominio TDS: gremorygame[.]net
- Dominio de descarga: techtalkcounty[.]com
- C2 IP: 5.252.178.23 (Rumanía)
06. El Hilo que lo Conecta Todo: El Perfil del Threat Hunter
Cinco investigaciones, cinco vectores distintos, pero un mismo hilo conductor: la metodología. Si algo demuestra esta crónica es que un Threat Hunter no se define por una certificación o un título, sino por la acumulación de habilidades forjadas en el laboratorio y validadas contra el adversario real.
Cada caso fue un peldaño en una escalera de capacidades que hoy definen mi perfil:
- OSINT & Infrastructure Mapping: Mapear la red de estafa piramidal —desde el número sudafricano hasta los servidores en Hong Kong con OpenSSH 7.4— me enseñó a pivotar sobre cada miga de pan que dejan los atacantes.
- Threat Intelligence & Blockchain Forensics: La campaña de fraude BEC me obligó a entender el ecosistema MaaS, rastrear transacciones en blockchain y correlacionar actores de amenazas como ShinyHunters con fraudes financieros activos.
- Ingeniería Inversa & Análisis de Malware: Diseccionar Nexilo-CC-Checker me dio las habilidades de reversing estático y dinámico, desde Ghidra hasta el volcado de memoria con Radare2.
- Automatización & Desarrollo de Herramientas: Construir dump.sh y analystty demostró que puedo crear mi propio arsenal, no solo usar el de otros.
- Análisis de Kill Chain Completa: Deconstruir la campaña de NetSupport RAT desde el phishing hasta el C2 me dio la capacidad de contar la historia completa del ataque, desde la ingeniería social hasta la persistencia.
Por Qué Este Perfil es Relevante
El threat hunting no es solo encontrar malware. Es conectar puntos que otros ven aislados. Es entender que un número de teléfono sudafricano, una VPS en Kenia, un dropper en un canal de Telegram y un correo de Druni pueden ser piezas del mismo rompecabezas. Es saber que los IoCs caducan pero las TTPs persisten. Es tener la capacidad de construir herramientas cuando las existentes no alcanzan.
En un ecosistema de amenazas donde los actores evolucionan más rápido que los mecanismos de defensa —Lumma sobreviviendo a takedowns masivos, NetSupport RAT mutando a clipboard poisoning, task scams diversificándose a fraudes con criptomonedas—, las organizaciones necesitan Threat Hunters que no solo sepan usar herramientas, sino que entiendan al adversario.
Esta recollection es mi evidencia. No es un currículum: es el diario de un cazador que sigue aprendiendo, sigue construyendo y sigue documentando. Porque la threat intelligence sin difusión es solo un archivo en un disco duro, pero la threat intelligence documentada, contextualizada y compartida es blindaje para toda la comunidad.
El laboratorio sigue funcionando. Los canales de Telegram siguen siendo monitoreados. Las muestras siguen llegando. La crónica continuará.
/¿Querés ver las herramientas y la infraestructura detrás de estas investigaciones?
Cada caso de esta crónica se apoyó en un stack técnico documentado en el portafolio: desde el triage automatizado con analystty hasta el túnel ofuscado que blindó todas las conexiones durante el análisis de infraestructura criminal.
07. Referencias y Enlaces
- Hilo original en X: #storytime sobre el ejercicio de OSINT de la red de estafa piramidal
- Post original: La Red de Estafadores que Mapeé con VirusTotal
- Post original: Exponiendo una Campaña Multi-Vector de Fraude Financiero
- Post original: Análisis de Nexilo-CC-Checker (mod-main)
- Post original: Detrás de Cámaras: Mi Triage de un Dropper Malicioso
- Post original: Deconstruyendo una Campaña Activa de NetSupport RAT
- LummaStealer infections surge after CastleLoader campaigns - BleepingComputer
- Deploying NetSupport RAT via WordPress & ClickFix - Cybereason
- Remus: The 64-bit Variant of Lumma Stealer - Gen Threat Labs
- The Clipboard Falls in the (Net)Support Scam - ThousandGuards
- Maltiverse Sample Analysis: Nexilo-CC-Checker-Updated.exe
- analystty: Automatizando el Triage de Malware PE con Python, Capstone y x64dbg
- De la Shellcode Artesanal al C2 Builder — Compendio de Técnicas de Inyección
- Infraestructura Ofuscada: WireGuard sobre TCP Falso + Proxy Residencial
- Operación FakeWealth: Inteligencia de Amenazas sobre cmdxcapital
- Red de Estafa Pig Butchering — Fake Crypto Exchange Multi-Dominio