Nicenic

Índice El punto de partida — análisis de cabeceras El mecanismo — análisis del código fuente Primer pivot — URLScan y el cluster Segundo pivot — análisis forense comparativo Tercer pivot — la IP real: 45[.]92[.]1[.]158 Cuarto pivot — Certificate Transparency (crt.sh) Timeline documentada Lo que queda sin confirmar IOCs accionables Dominios C2 · IP servidor real · Paths C2 · Google Sites señuelo · CF Tunnels · Fingerprint · IOCs de email · Nexo infraestructura TTPs — MITRE ATT&CK Por qué DKIM/SPF/DMARC no son suficientes Actualizaciones 2026-05-30 · Tercer email · 2026-05-31 · Análisis C2 · 2026-05-31 · Infraestructura · 2026-06-04 · Infraestructura suspendida · 2026-06-09 · Re-verificación independiente · 2026-07-04 · Nota de calibración · 2026-08-21 · Re-verificación de campo · 2026-08-22 · Regla YARA v6 Apéndice — IOCs (texto plano) El 29 de mayo recibí un email de security-noreply@google.com. DKIM válido. SPF válido. DMARC válido. Decidí analizarlo. ...

Table of contents Starting point: header analysis The mechanism: source code analysis First pivot: URLScan and the cluster Second pivot: comparative forensic analysis Third pivot: the real IP 45[.]92[.]1[.]158 Fourth pivot: Certificate Transparency (crt.sh) Documented timeline Open questions Actionable IOCs C2 domains · Real server IP · C2 paths · Google Sites lure pages · CF Tunnels · Fingerprint · Email IOCs · Infrastructure nexus TTPs — MITRE ATT&CK Why DKIM/SPF/DMARC are not enough Updates 2026-05-30 · third email · 2026-05-31 · C2 analysis · 2026-05-31 · infrastructure · 2026-06-04 · infrastructure suspended · 2026-06-09 · independent re-verification · 2026-07-04 · calibration note · 2026-08-21 · field re-verification · 2026-08-22 · YARA rule v6 Appendix: IOCs (plain text) On May 29th I received an email from security-noreply@google.com. DKIM valid. SPF valid. DMARC valid. I decided to analyze it. ...