Caso final — Meseta Telecom

En la plataforma de Meseta entra un informe de un proveedor de seguridad: anuncia con un nombre llamativo que un grupo criminal está atacando operadoras de telecomunicaciones, y adjunta unos indicadores. No muestra en qué se basa la atribución y ninguna otra fuente lo ha confirmado todavía. La tentación es cargar los indicadores en el cortafuegos y dar la alarma. El método dice otra cosa: primero valorar la fuente y corroborar el dato, separando lo que el informe demuestra (los indicadores técnicos) de lo que solo afirma (quién está detrás).

Actuar a ciegas sobre un aviso sin corroborar es cómo se cuelan las falsas alarmas y las banderas falsas en las defensas propias. Se pondera antes de reaccionar.

Corroborando en los propios registros, Meseta encuentra tres cosas en dos de sus filiales, en fechas distintas: un correo señuelo de nómina falsa dirigido a recursos humanos, una tarea programada llamada TelcoUpdate que nadie creó, y un canal de mando que late cada 120 segundos hacia un servicio web. Las direcciones IP no coinciden entre las dos filiales. Como en la ruta, lo que ata los casos no son las IP que cambian, sino el comportamiento repetido: mismo tipo de señuelo, misma clase de persistencia, mismo ritmo de latido.

Dos filiales con el mismo modo de operar es una campaña dirigida, no dos incidentes sueltos. Agrupar por conducta es lo que lo revela.

Meseta arma el perfil de este actor, al que designa internamente CANTO RODADO, mapeando su conducta a MITRE ATT&CK: phishing de acceso (T1566), tarea programada de persistencia (T1053), canal de mando sobre protocolo web (T1071). Una de las muestras trae metadatos de distribución de teclado que apuntan a cierto país, y el aviso del proveedor atribuía el ataque a un grupo de ese mismo país. Coincide, y por eso mismo hay que desconfiar: un metadato de teclado se planta con la misma facilidad con la que se lee, y podría ser una bandera falsa que encaja con el aviso a propósito.

El perfil útil cuelga de las técnicas sostenidas —lo que sirve para reconocer y detectar—, y la atribución a un país queda como hipótesis sin respaldo, marcada como tal.

Con el perfil listo, Meseta deriva detecciones. La IP del canal de mando de CANTO RODADO ya cambió una vez entre las dos filiales, así que escribir la regla sobre esa dirección la deja inútil mañana. La detección que se lleva al SOC describe el comportamiento: conexiones a intervalos casi idénticos (120 segundos, ±5) y tamaño constante hacia un servicio web, sostenidas durante horas. Esa regla sobrevive a que el actor mude de servidor, porque el ritmo del latido es parte de cómo opera.

Es la pirámide del dolor aplicada al cierre: se gasta el esfuerzo de detección donde al adversario le cuesta cambiar, no donde te gana por velocidad.

Meseta cierra con dos documentos, uno por lector. Para la dirección: qué riesgo corre el negocio (un actor ataca operadoras como Meseta por el correo de RRHH), qué decisión se pide y qué cuesta, en lenguaje de negocio y sin jerga. Para el analista del turno: los indicadores, las técnicas mapeadas a ATT&CK (T1566, T1053, T1071), la lógica de detección del latido lista para cargar y qué buscar en los registros. Un mismo caso, dos productos, porque son dos trabajos distintos.

Si llegaste hasta aquí —valorando el aviso antes de creerlo, armando el perfil por conducta, atribuyendo con cautela, detectando el comportamiento y separando los dos informes— sin que nadie te dijera la conclusión, el oficio de la ruta ya es tuyo.

Nadie te da la conclusión. Abre los rastros de Meseta: el mismo modo de operar se repite en dos filiales con direcciones IP distintas, y hay un metadato cómodo que apunta a un país —trátalo como posible bandera falsa, no como atribución—. Agrupa por la conducta sostenida, como en toda la ruta, abre la contención que la plataforma ancla a ese grupo y lee su código.