Canales de mando escondidos en tráfico web

Un equipo comprometido que espera órdenes «llama a casa» cada cierto tiempo para preguntar si hay algo que hacer. Ese patrón —conexiones pequeñas hacia el mismo destino, repetidas a un intervalo casi fijo— se llama beaconing, y es la firma de un canal de mando. Ninguna persona genera un tráfico tan regular: la regularidad es precisamente lo que no se puede fingir de humano. En Ventura, un equipo de la planta repite conexiones al mismo destino externo a compás durante toda la hora.

Reconocer el compás es lo que delata el canal, aunque cada conexión por separado parezca inofensiva.

El destino del canal de mando es la misma dirección a la que resolvió el dominio anómalo que viste en el módulo 2, y sale del mismo equipo de la planta que hizo aquella consulta. Eso no es coincidencia: es el hilo completo de un incidente. El DNS pidió el nombre; el canal fue a su dirección. Correlacionar por equipo de origen y por dirección de destino es lo que ata dos hallazgos sueltos en una sola historia con un solo responsable.

Un incidente creíble no es una lista de rarezas: es una cadena donde cada eslabón explica al siguiente.

El canal está diseñado para no llamar la atención: usa cifrado sobre el mismo puerto que toda la web, y peticiones pequeñas como las de cualquier página. A ojo, en una lista, se confunde con navegación. Lo que lo distingue no es el protocolo ni el certificado —eso lo imita— sino el comportamiento: el compás fijo, el destino raro repetido y la huella de cliente constante. Se caza por cómo se comporta, no por cómo se presenta.

Interiorizar esto evita el error de descartar un canal solo porque «va por HTTPS como todo lo demás».