Segmentación de identidades y sistemas de trabajo

Operar directamente desde el sistema operativo anfitrión de una computadora portátil personal es una violación elemental de OPSEC. Cualquier artefacto residual, cookie de sesión o conexión en segundo plano de aplicaciones personales (Spotify, navegadores con cuentas personales sincronizadas, clientes de mensajería) puede colarse en una captura de tráfico.

Los operadores profesionales utilizan máquinas virtuales dedicadas por campaña o contenedores efímeros que se destruyen y reconstruyen tras cada operación. Toda conexión hacia el objetivo o hacia los servidores C2 se canaliza exclusivamente desde estas máquinas virtuales aisladas.

Cuando se compran nombres de dominio, certificados o servidores virtuales en proveedores de nube (VPS), pagar con la tarjeta de crédito personal de un consultor o registrar los dominios con el correo institucional de la consultora es un error de atribución inmediato.

Los analistas de inteligencia utilizan bases de datos Whois históricas y registros de pasarelas de pago para rastrear quién contrató la infraestructura. Las compras deben realizarse utilizando entidades instrumentales autorizadas, medios de pago corporativos dedicados y servicios de privacidad Whois estrictos.

Los servidores de control (Teamservers) donde los operadores se conectan para gestionar las balizas jamás deben exponer sus puertos de administración (SSH, consolas web de gestión) hacia internet de forma abierta.

El acceso a la gestión del C2 debe realizarse obligatoriamente a través de una red privada virtual (VPN) con autenticación multifactor (MFA) restringida por lista blanca de direcciones IP, completamente separada de los puertos públicos que reciben las balizas de las máquinas comprometidas.