Elegí un caso. Abrilo. Seguí la evidencia.

Usuario entra al sistema y ejecuta ciclos de whoami/netstat/w/ps aux cada 300s exactos durante 40 minutos (8 ciclos). Sin modificaciones ni exfiltración. La hipervigilancia periódica delata consciencia de culpa de actor infiltrado.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

system_updater.elf con mtime/atime/crtime copiados de binarios legítimos de 2022. Pero ctime: hace 3 horas. MFT entry #147823 asignado después del #147822 (que es de 2026) pero lleva timestamp de 2022. 7 ceros en sub-segundos firman la herramienta de timestomping.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

svchost.exe (hash limpio, firma Microsoft válida) ejecutándose desde C:UsersPublicDownloads, parent cmd.exe, sección .text con permisos RWX, manteniendo 1GB exfiltrado a AS en Ucrania. Firewall reporta 0 bytes.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Analista senior se auto-denuncia por sesión SSH abierta para crear coartada de honestidad extrema. Mientras el equipo audita su cuenta con benevolencia, un cron job instalado 5 minutos antes de la denuncia exfiltra datos bajo identidad de servicio de sistema.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

15 commits imitan el estilo del Arquitecto Jefe (espaciado, errores gramaticales, TTR) con precisión estadística de 0.97, superior a la varianza humana biológica (0.82). Subidos vía API key genérica a las 4AM mientras el arquitecto estaba desconectado.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Volcado de memoria (cridex.vmem) de una máquina Windows XP SP2 infectada con el troyano bancario Cridex (Feodo/Bugat, antecesor de Dridex). El malware inyecta código en explorer.exe y se comunica con su C2.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

El 24 de noviembre de 2014, Sony Pictures Entertainment sufrió un ciberataque destructivo de 'Guardians of Peace', combinando exfiltración masiva de datos con borrado de infraestructura.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Artículo del New York Times sobre incendios intencionales atribuidos al Earth Liberation Front (E.L.F.) en cinco mansiones de lujo en Maltby, Washington, en 2008.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Carry, simpatizante de una causa extranjera, es reclutado para orquestrar el vandalismo de una obra de arte extranjera en la National Gallery de Washington DC. Evidencia extraída de una imagen forense E01 de su tablet.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Compromiso real confirmado en memoria (process hollowing y volcado de credenciales LSASS). Sobre el ataque genuino, el operador plantó cadenas en ruso sospechosamente prolijas para simular un origen que no es el real.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Conjunto de 12 desafíos de ingeniería inversa de malware publicado en 2019 por el equipo FLARE de FireEye, usado aquí como corpus de evidencia sintética.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Captura de tráfico de red del desafío forense M57 Patents (DFRWS 2009). Se busca identificar qué empleada envió un correo de acoso desde una red compartida, cruzando sesiones HTTP, cookies y tráfico de correo.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

El 7 de mayo de 2021, Colonial Pipeline sufrió un ataque de ransomware del grupo DarkSide que forzó el cierre del oleoducto de combustible más grande de EE. UU.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Entre noviembre y diciembre de 2013, Target sufrió una de las mayores brechas de datos retail de la historia, iniciada por credenciales robadas a un proveedor externo de HVAC.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un usuario de finanzas anota su contraseña en un post-it visible por una cámara de una sala de reuniones. Un colega la ve y la comparte por chat interno; el usuario la cambia. No se abusa de la credencial.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Joe instala un keylogger (LogKext) en la MacBook Air familiar antes de su divorcio, declarando que su intención era monitorear a su hija de 15 años. La intención declarada y la evidencia técnica entran en tensión.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un escaneo nmap agresivo (-sS -p- sobre /24) ejecutado desde una estación de trabajo administrativa. El patrón técnico se parece a un reconocimiento hostil, pero el contexto es una tarea autorizada.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Archivo forense de un dispositivo Android 11 (10.94 GB), con verificación de hash del archivo externo e interno, usado como evidencia de línea base para análisis de dispositivo móvil.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un desarrollador en Torzhok, Rusia: nombres de archivo en cirílico, teclado ruso, huso horario UTC+3. Memoria, LSASS y kernel están limpios. No hubo incidente: los marcadores culturales son configuración nativa, no una pista plantada.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un script de backup documentado y aprobado por el CISO copia 500GB por noche a un proveedor cloud aprobado usando rsync. El volumen y el patrón de tráfico imitan una exfiltración masiva.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Proceso 'Update_Fix_For_HR_Payroll.exe' consumiendo 1.2GB RAM desde C:UsersPublicDocuments, sin firma digital. Entropía de Shannon: 7.8 bits (packed/encrypted). El nombre apela a RRHH para inducir duda antes de matar el proceso.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Usuario falla exactamente 2 veces la contraseña antes de acertar durante 47 días consecutivos (nunca llega al límite de 3). Varianza de 0.8s. Entropía del patrón: 0.04 bits. El día del ataque real, la supresión de alertas creada por este baseline permite el brute force.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Script PowerShell de IT de EEUU tiene comentarios en inglés perfecto pero usa comillas angulares « » y non-breaking spaces típicos de teclados cirílicos/europeos.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Ante auditoría por fuga de datos, responsable entrega 200 PDFs de 'Reportes de Integridad históricos'. Metadatos de creación con diferencia exacta de 1.2 segundos entre archivos. Todos los ctime agrupados en ventana de 4 minutos.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Mail de RRHH: 'Debido al fallecimiento de colega, recolectamos fondos. Ver PDF adjunto'. El empleado no existe en base de datos. SPF/DKIM fallan. PDF contiene JavaScript que roba tokens de sesión de navegador. 12 hosts comprometidos.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Usuario reporta 'archivos raros en mi carpeta'. El archivo adjunto es un LNK malicioso que explota CVE-2024-XXXX al ser abierto por el visor del administrador. El denunciante es el vector.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Log muestra 1247 conexiones con bytes_transferred=0. Router de borde reporta 847 Mbps sostenidos en la misma ventana. Kernel confirma 14 sockets TCP activos con contadores manipulados a 0x0 por escritura directa.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Mensajes sistemáticos de normalización ('esto es normal', 'todos lo hacen') en contextos donde se esperan advertencias técnicas o alertas de seguridad.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

20 evidencias débiles, ninguna supera el umbral individualmente, todas señalando al mismo objetivo. Un experto humano concluiría SUSPICION; el motor podría quedar atrapado en ABSTAIN porque ninguna pieza aislada alcanza el umbral de confianza.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Cinco fuentes 'independientes' reportan el mismo evento. Cuatro están comprometidas. Una es legítima pero minoritaria. La lógica de mayoría falla — hay que ponderar por confiabilidad del canal, no por cantidad de fuentes.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Todo es consistente. Todo correlaciona. Todo tiene timestamps coherentes y hashes correctos. El problema es que el atacante fabricó absolutamente todo. La única evidencia real es una anomalía estadística mínima.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Se generan 100 artefactos legítimos: 95 son irrelevantes, 5 son decisivos. La prueba real: ¿puede el motor ignorar evidencia verdadera pero irrelevante? Filtrar evidencia falsa es fácil — filtrar evidencia verdadera pero irrelevante es mucho más difícil.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

El 99% de los expertos humanos concluiría MALICE: la evidencia es suficiente, inequívoca, sin contradicciones ni datos faltantes. Pero el motor podría detectar una incertidumbre formal mínima y abstenerse por rigor excesivo.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un relato que parece artificial pero es verdadero, frente a uno que parece humano y natural pero es falso. ¿Puede el motor distinguir la verdad de lo plausible? Muchos sistemas no pueden.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Atacante con credenciales robadas de un empleado de marketing. Inicia sesión en horario laboral, usa herramientas comunes (PowerShell, RDP, SMB), navega archivos de clientes, comprime 500MB y los sube a un Google Drive personal. Sin errores, sin herramientas anómalas.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

El atacante instala un agente de backup legítimo (Veeam) con licencia válida, configurado para enviar datos a una instancia propia alquilada en la nube. La herramienta es legítima, firmada, y el tráfico es indistinguible de un backup real.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

El atacante hace process hollowing sobre svchost.exe. El binario en disco es el legítimo de Microsoft, firmado. Las conexiones de red van a IPs de AWS (CDN legítimo). La exfiltración ocurre dentro de TLS, indistinguible del tráfico normal.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

En febrero de 2024 se descubrió que XZ Utils 5.6.0 y 5.6.1 contenían un backdoor CVSS 10.0 que habilitaba ejecución remota de código no autenticada vía OpenSSH. El payload se inyectó en el tarball distribuido durante el proceso de build.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un servidor Linux con Apache RocketMQ 5.0.0 fue comprometido vía CVE-2023-33246 (RCE no autenticado, CVSS 9.8). El malware perfctl reemplazó los binarios del sistema /usr/bin/crontab, /usr/bin/ldd y /usr/bin/top.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

En un endpoint Linux comprometido vía CVE-2025-55182, el atacante despliega un criptominero de Monero como /var/tmp/systemd-logind, suplantando al demonio legítimo systemd-logind.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Prueba de frontera epistémica derivada de un incidente multi-actor: las señales de un criptominero, una botnet con robo de credenciales, y comandos legítimos generados por un asistente de IA quedan entrelazadas en la misma ventana temporal.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.

Un servidor con Windows Server 2008 y XAMPP fue comprometido vía inyección SQL en DVWA. El atacante desplegó webshells PHP, creó cuentas de usuario y configuró acceso RDP desde la subred interna.

MITRE contextual pendiente de correlación en este fixture; no se inventa una técnica.

NIST: detectar y analizar · contener · erradicar y recuperar · actividad post-incidente.