Evitar firmas personales en comandos y scripts

Abre fugas_comunes.txt en la consola del laboratorio. Revisa la última viñeta.

Cada operador humano tiene hábitos de escritura en la terminal: la forma en que estructura una tubería (pipe), nombres de carpetas temporales (C:\temp\test1, C:\Windows\Temp\x), comentarios insertados en scripts o el uso de argumentos específicos en comandos nativos de Windows o Linux.

Cuando un analista compara las bitácoras de incidentes de varias organizaciones víctimas, estos patrones de teclado («keyboard habits») permiten atribuir que el mismo individuo está operando, incluso si utiliza balizas y servidores C2 completamente diferentes.

Revisa la segunda viñeta en fugas_comunes.txt.

Los documentos señuelo (archivos Word, Excel o PDF) utilizados en fases iniciales contienen con frecuencia propiedades internas ocultas: el nombre del autor registrado en la suite ofimática, el nombre de la organización de la licencia, la fecha exacta de creación y la versión del software de edición.

Si el operador crea un archivo señuelo en su estación corporativa sin purgar los metadatos XML internos mediante herramientas de desinfección, el Blue Team solo necesita extraer las propiedades del archivo para conocer el nombre real del consultor.

Para eliminar la huella humana individual, los Red Teams avanzados prohíben la ejecución de comandos manuales arbitrarios directamente desde la consola interactiva de la baliza.

En su lugar, los operadores utilizan recetas predefinidas y estandarizadas (Runbooks) donde las acciones se ejecutan mediante llamadas a APIs del sistema o scripts probados en laboratorio, garantizando que todos los miembros del equipo operen con exactamente la misma firma y sintaxis.