Caso final — Aljibe Aguas

Aljibe Aguas es otra organización, con su propia red y su propio tráfico normal. Empieza como en Ventura: mira las conversaciones y busca el equipo que hace algo que nadie más hace. No sabes de antemano qué encontrarás; el método es el mismo —salirse del molde de todos los demás es el primer filtro—, pero el número y el equipo son nuevos. Uno de los equipos de Aljibe consulta nombres de una forma que ninguno de los otros repite.

Aquí no hay pistas de dónde mirar: transferir el método significa saber por dónde empezar sin que te lo digan.

En Ventura los datos salían cifrados hacia un destino web raro. En Aljibe el canal es otro: el equipo saca datos escondiéndolos dentro de consultas DNS —nombres larguísimos y repetidos hacia un mismo dominio base, donde cada consulta lleva un trozo de información codificado en el propio nombre. La misma habilidad de «buscar lo que no encaja» aplicada a otro canal: aquí lo raro son consultas DNS mucho más largas y frecuentes de lo que ningún uso normal justifica.

Que el canal cambie y aun así lo reconozcas es exactamente lo que mide el caso final: método, no memoria del incidente anterior.

Como en Ventura, el orden temporal cuenta la historia. La contención que aplica el analista al final no puede ser lo primero del incidente; el primer evento es siempre del lado del adversario. Ordenar por tiempo las consultas y las conexiones deja claro que la primera señal anómala —la primera consulta que no encaja— ocurrió antes de que empezara la salida sostenida de datos. Reconstruir ese orden es lo que convierte un montón de eventos en un relato con principio.

Un incidente sin línea de tiempo es una lista; con ella, es algo que otro puede entender y continuar.

El indicador principal de este caso es el dominio base del túnel: el nombre común al que apuntan todas esas consultas larguísimas. Es lo que otro equipo puede buscar en sus registros para ver si el mismo canal aparece en otra parte de Aljibe. Igual que el dominio anómalo de Ventura, es concreto, verificable y reutilizable —no una descripción vaga del síntoma.

Elegir el dominio base y no una consulta suelta es lo correcto: las consultas cambian en cada envío, pero el dominio base es el ancla estable del canal.

El último paso es contener: en el panel del laboratorio se bloquea el equipo implicado y la acción devuelve un código de contención que se anota en el informe como constancia de que la medida se aplicó. Contener no es apagar la investigación —es cortar el canal mientras se estudia el alcance. Dejar por escrito el equipo, el canal, el indicador, la línea de tiempo y el código de contención es lo que cierra el caso de forma que otro turno lo entienda sin repetir tu trabajo.

Si llegaste hasta aquí sin que nadie te dijera dónde mirar, el método de la ruta ya es tuyo.

El caso no se cierra con una sensación, se cierra con un dato que otro equipo puede buscar. Vuelve a la captura de Aljibe, mira las consultas larguísimas del equipo que no encaja y quédate con lo único estable entre todas: el nombre base al que apuntan todas, por debajo de la parte que cambia en cada envío. Ese es el indicador de red que va al informe.