De dónde se recolecta sin tocar al actor

Ánfora tiene la IP del canal de mando, 203.0.113.52, y quiere saber qué dominios han apuntado a ella. La fuente es el DNS pasivo: bases de datos de terceros que llevan años registrando qué nombre resolvió a qué dirección y cuándo, recopilado por sensores repartidos por internet. Consultarlo no toca al actor —se le pregunta a la base, no a su servidor— y devuelve un histórico: todos los dominios que vivieron en esa IP, no solo el de hoy. Es una de las formas más baratas de ampliar un indicador suelto a un conjunto.

El DNS pasivo convierte una IP en una lista de dominios, y una fecha de «primera vez vista» en cada uno, sin que el actor se entere.

Para hospedar su canal de mando con cifrado, el actor pidió un certificado TLS. Cada certificado emitido queda anotado en registros públicos de transparencia de certificados, pensados precisamente para que cualquiera pueda auditar qué se emitió. Ánfora consulta esos registros por el dominio del actor y aparecen, en el mismo certificado o en certificados hermanos, dos subdominios más que el actor no había expuesto de otra forma. Todo sin conectarse a ninguno: los registros de transparencia son una base pública.

La transparencia de certificados es un soplón útil: el actor que cifra su infraestructura deja, sin querer, la lista de sus propios subdominios en un registro que cualquiera lee.

De las fuentes que Ánfora maneja, cuatro leen bases de terceros y una no: conectarse directamente al dominio del actor para ver qué responde hoy. Esa última es recolección activa, y es la que deja la dirección de Ánfora escrita en los registros del servidor del actor. La disciplina de la sala anterior se concreta aquí: se agotan las cuatro pasivas —DNS pasivo, certificados, WHOIS histórico, archivo web— antes de plantearse siquiera la quinta, y casi siempre las cuatro bastan.

Saber qué fuente avisa y cuál no es la diferencia entre investigar en silencio y confirmarle al actor quién lo mira.

El actor ha cuidado el registro actual de sus dominios para no filtrar nada —datos anonimizados, sin nombre ni correo—. Pero los dominios llevan años registrados, y el WHOIS histórico guarda cómo estaban antes de que los limpiara: un correo de registro que en su día apareció y que ata dos dominios entre sí. El dato actual está saneado; el de hace tres años, no siempre. El archivo web hace lo análogo con las páginas: guarda versiones anteriores de un sitio que hoy muestra otra cosa.

Lo que una fuente de hoy oculta, una fuente histórica puede seguir recordándolo. El actor limpia el presente; rara vez limpia el pasado.

Abre el registro de recolección pasiva y mira la tabla de hallazgos: uno de ellos amplió un indicador suelto a dos subdominios más del actor usando un registro público, sin conectarse a ninguno. Aísla ese hallazgo y lee el código que la plataforma le asignó.