Pivotar entre indicadores sin alertar

Ánfora parte del dominio del canal de mando. En los registros de transparencia ve que ese dominio usó un certificado TLS, y que el MISMO certificado cubre un segundo dominio que no había aparecido por ningún otro lado. Compartir certificado es un lazo fuerte: lo normal es que lo haya puesto la misma mano. Así, de un indicador conocido Ánfora llega a uno nuevo sin tocar ninguno de los dos: todo salió del registro público de certificados.

Pivotar por un dato compartido es cómo un indicador se convierte en un mapa. El certificado común ata dos dominios que, por separado, parecían no tener relación.

Del segundo dominio, Ánfora salta otra vez. El WHOIS histórico muestra que, años atrás, ese dominio se registró con un correo que también registró un tercero. Ese correo compartido es otro lazo pasivo: ata tres dominios a la misma mano sin que Ánfora haya tocado ninguno. Cada salto usa un dato que el actor dejó publicado en algún registro —certificado, correo de registro, resolución DNS— y que une piezas que él creía separadas.

El pivote encadena: de A por el certificado a B, de B por el registrante a C. La red del actor se dibuja saltando por lo que comparte, no escaneándola.

Hay una forma tentadora y equivocada de pivotar: tener una lista de dominios candidatos y conectarse a cada uno para ver cuál responde como el actor. Eso es pivote activo, y rompe toda la higiene de la sala anterior: cada conexión deja la dirección de Ánfora en el servidor de un dominio que podría ser del actor, avisándole de que alguien está mapeando su red —exactamente cuando más interesa que no lo sepa, porque con la red medio descubierta todavía puede mudarse entera—. El pivote correcto se queda en los registros de terceros: certificados, WHOIS, DNS pasivo.

Mapear la infraestructura del actor pierde todo su valor si, al mapearla, le avisas de que la has encontrado. El pivote útil es invisible.

Cuando Ánfora termina, no tiene un dominio: tiene tres atados a la misma mano. Eso cambia la defensa. Si solo hubiera bloqueado el dominio del canal de mando, el actor seguiría operando desde los otros dos sin inmutarse. Con la red mapeada, Ánfora puede vigilar el conjunto y entender que bloquear un nodo no es bloquear al actor. Pivotar no es coleccionar dominios por deporte: es ver el tamaño real de lo que hay que defenderse.

Un indicador aislado da una defensa parcial; la infraestructura atada da la foto completa, y evita el falso alivio de haber bloqueado «el» dominio cuando había tres.

Abre el registro de pivote pasivo. Partiendo del canal de mando, la plataforma saltó por un certificado compartido y por un correo de registro repetido hasta atar la infraestructura del actor en un solo clúster, sin tocar ningún servidor. Abre ese clúster de infraestructura y lee el código que lo identifica.