Sign in

Antonio Sanz

@antoniosanzalc.bsky.social
254 followers 150 following 3.2K posts

Fighting evil 24x7. Incident Response & Digital Forensic guy, infosec maniac... and a damn good cook. My team is blue #DFIR - antoniosanzalc@infosec.exchange

PostsRepliesMedia
Antonio Sanz @antoniosanzalc.bsky.social · 09/02/2026
1) Cómo la pillamos 2) Cómo la solventamos 3) Cómo puedes detectarla/solventarla para que TÚ no te lleves el palo Y todo con doc técnica: scripts en Powershell, consultas de KQL, listo para usar. Y si eres funcionario público, habla con @ProtAAPP que puedes ir gratis... 😁🔥👩‍🚒
000
Antonio Sanz @antoniosanzalc.bsky.social · 09/02/2026
Pq una cosa que no sabe mucha gente es que O365 es muy bonito... pero si miras debajo del capó, "pasan cositas". Y si no las miras ... te la pueden liar. Y bien gorda. Por eso no solo os vamos a contar nuestras penas, sino que os contaremos esto:
100
Antonio Sanz @antoniosanzalc.bsky.social · 09/02/2026
!Este año hago doblete en la @rootedcon! Junto con mi compañero AntonioE, contaremos dentro del track de @ProtAAPP todas las miserias y penurias que hemos sufrido gestionando incidentes de O365 (que llevamos más palos que una estera, tenemos PX) (1/n)
100
Antonio Sanz @antoniosanzalc.bsky.social · 02/02/2026
... y sin DFIR, Malware no habría tenido el contexto y las piezas clave para poder montar (bueno, desmontar) el bicho. Así que si quieres ver incidentes guapos, colaboración en ciber y muchas "cositas" que pasaron, vente a la #RootedCON !!! rootedcon.com
rootedcon.com
RootedCON - RootedCON
RootedCON es el mayor congreso de ciberseguridad en España, con ponencias, formaciones y networking para expertos y entusiastas del hacking
000
Antonio Sanz @antoniosanzalc.bsky.social · 02/02/2026
Y lo interesante (además del incidente y del bicho, q se las pelan) es que vamos a demostrar cómo DFIR y Malware son FAM: en este incidente, sin Malware DFIR habría perdido IOC y alguna TTP clave para terminar de explicar el incidente.
100
Antonio Sanz @antoniosanzalc.bsky.social · 02/02/2026
Este año volvemos a la #RootedCON con una charla llena de TTP, malware, mala baba y drama. Mi compinche en el bien Ana Nieto y yo vamos a desgranar un incidente del grupo APT Lazarus desde dos puntos de vista: malware y respuesta ante incidentes.
rootedcon.com
RootedCON - RootedCON
RootedCON es el mayor congreso de ciberseguridad en España, con ponencias, formaciones y networking para expertos y entusiastas del hacking
100
Reposted by Antonio Sanz
Kostas @kostastsale.bsky.social · 20/11/2025
𝗦𝘂𝗿𝗶𝗰𝗮𝘁𝗮 𝗶𝘀 𝗻𝗼𝘄 𝗽𝗮𝗿𝘁 𝗼𝗳 𝗗𝗲𝘁𝗲𝗰𝘁𝗶𝗼𝗻𝗦𝘁𝗿𝗲𝗮𝗺 𝘄𝗶𝘁𝗵 𝗽𝗹𝗮𝘆𝗴𝗿𝗼𝘂𝗻𝗱𝘀 𝗮𝗻𝗱 𝗰𝗵𝗮𝗹𝗹𝗲𝗻𝗴𝗲𝘀! Big update for anyone working on network detections. 𝗜𝗻𝗰𝗹𝘂𝗱𝗲𝗱: • 45k+ ET rules available out of the box • Full ET Open ruleset preloaded • Build and validate custom Suricata rules
kostas-ts.medium.com
DetectionStream Just Got a Major Upgrade: Suricata Integration is Here!
I’m excited to share some big news! We’ve just rolled out a massive update to DetectionStream, and it’s one that I had planned to add for a…
143
Reposted by Antonio Sanz
malmoeb.bsky.social @malmoeb.bsky.social · 14/11/2025
This is wild. From a recent IR engagement led by my teammate Florian Scheiber: "The investigation showed that the attacker first compromised the Administrator’s personal Gmail account, redacted@gmail.com. Those credentials appeared in a combolist leaked on 2 June 2025.
122
Antonio Sanz @antoniosanzalc.bsky.social · 30/10/2025
Un honor y un placer volver a participar en las XIX Jornadas STIC del @CCNCERT . Me tendréis el miércoles 26/nov en la sala 25 hablando de un caso de respuesta ante incidentes de un grupo APT muy muy muy jugoso. Malware, ing soc, nube ... drama !de todo! 😅🔥👩‍🚒🧑‍🚒 #STIC2025
000
Reposted by Antonio Sanz
Veni Kunche @veni.dev · 27/10/2025
Check Settings > Manage Apps in your Google Drive, Gemini was enabled by default for me. I only checked because someone had pointed it on Twitter
Screen shot of my setting screen. Settings > Manage Apps shows a list of apps that are connected to my account with the checkbox "Use by default" next to Gemini checked
68047
Antonio Sanz @antoniosanzalc.bsky.social · 14/10/2025
Este 3 y 4 de noviembre repito el curso de #DFIR en la Universidad de Zaragoza. Batallitas, enfoque muy práctico (uno de los días será un CTF entero donde desgranaremos un incidente) y mucho, mucho sobre cómo abordar y responder a incidentes de ciberseguridad !Vamos! 🧑‍🚒🧑‍🚒🧑‍🚒
000
Antonio Sanz @antoniosanzalc.bsky.social · 15/09/2025
Aún queda alguna plaza suelta en la formación de #DFIR que voy a dar en la #rootedconVLC. Si tienes RAM suficiente para meterte un .tar.gz con conocimientos de respuesta ante incidentes ... !vente! La info aquí (que si no te va el DFIR, hay también cosas MUY interesantes): rootedcon.com/formaciones/
rootedcon.com
Formaciones - RootedCON
Próximas formaciones El mundo de la tecnología y, en particular, el de la ciberseguridad requieren de constante actualización. Una de […]
000
Reposted by Antonio Sanz
hakan @hatr.bsky.social · 11/09/2025
if you are interested in apt/hacking history, this interview describing how the apt1 report came to be is for you www.zetter-zeroday.com/how-the-infa...
zetter-zeroday.com
How the Infamous APT 1 Report Exposing China’s PLA Hackers Came to Be
This is the first in a series of pieces I’ll publish that take an in-depth look at significant events, people and cases in security and surveillance from the past. If there’s something you think would...
01410
Reposted by Antonio Sanz
The DFIR Report @thedfirreport.bsky.social · 30/06/2025
🌟New report out today!🌟 Hide Your RDP: Password Spray Leads to RansomHub Deployment Analysis and reporting completed by @tas_kmanager, @iiamaleks and UC2 🔊Audio: Available on Spotify, Apple, YouTube and more! thedfirreport.com/2025/06/30/h...
thedfirreport.com
Hide Your RDP: Password Spray Leads to RansomHub Deployment
Key Takeaways Initial access was via a password spray attack against an exposed RDP server, targeting numerous accounts over a four-hour period. Mimikatz and Nirsoft were used to harvest credential…
032
Reposted by Antonio Sanz
Jose Manuel Redondo López @theroundedman.bsky.social · 27/06/2025
Ha llegado la hora de ir regalando contenido a la gente que le pueda interesar. Voy a liberar mis presentaciones para gente de la ESO, por si a alguien le sirven de algo :). Subiré una nueva cada viernes al principio y luego, pues iremos viendo. También las haré en video github.com/jose-r-lopez...
github.com
Home
Formación en ciberseguridad para jóvenes de José Manuel Redondo López - jose-r-lopez/Formacion_-Seguridad_Joven
2014866
Reposted by Antonio Sanz
Kostas @kostastsale.bsky.social · 23/06/2025
DFIR Labs Subscriptions are live 🎉 At $𝟏𝟒.𝟗𝟗/𝐦𝐨𝐧𝐭𝐡, we’re offering something we’re truly proud of, not just great training, but a model that’s sustainable and community-focused. /1
dfirlabs.thedfirreport.com
DFIR Labs - Subscription Plans
152
Reposted by Antonio Sanz
Kostas @kostastsale.bsky.social · 19/06/2025
IR isn’t about mastering tools. It’s about building structured investigation habits: →Start with what you do know →Reconstruct the timeline →Contain without alerting →Keep calm and correlate That confidence comes from method, not magic! /end
083
Antonio Sanz @antoniosanzalc.bsky.social · 04/06/2025
Muchas gracias a la ##c1b3rwall por otro año en el que todo ha ido como la seda. Como es habitual, aquí tenéis las slides de mi presentación sobre cómo mejorar en la gestión de incidentes de ciberseguridad #DFIR: bit.ly/c1b3rwall_incidentes
bit.ly
c1b3rwall2025: Errores frecuentes en incidentes de ciberseguridad
000
Reposted by Antonio Sanz
malmoeb.bsky.social @malmoeb.bsky.social · 14/05/2025
1/ In one of our recent incident response cases, we found a cleverly hidden backdoor that the attacker had installed on various computers and servers in the network. Disguised as a Microsoft Edge service, a Mesh agent was running under the path: C:\Program Files\Microsoft\MicrosoftEdge\msedge.exe
131
Antonio Sanz @antoniosanzalc.bsky.social · 04/05/2025
6) Dock One (Muelle Uno) is at Malaga's port, and has several incredible restaurantes to have dinner by the sea, for example Cambara www.muelleuno.com/restaurantes... 7) And for a sweet finish, have an ice cream at Casa Mira. Hope you enjoy it, my girlfriend really love it !! 🥳
muelleuno.com
CAMBARA - Muelle Uno
Una jungla en la ciudad, Cambara inunda de frescor y sensaciones el corazón de Málaga. Su gastronomía, personalidad y diseño le convierten en el nuevo punto de partida donde explorar experiencias dife...
000
Antonio Sanz @antoniosanzalc.bsky.social · 04/05/2025
4) For your geeky side: Videogame museum: oxomuseo.com The secret: it has an amazing rooftop with cheap (but fine) cocktails just in Malaga downtown! 5) If you want to take home some food, Atarazanas Market is full of interesting things
oxomuseo.com
Madrid, Málaga - OXO MUSEUM
OXO Museo del Videojuego es un innovador espacio cultural donde vivirás el pasado, presente y futuro en Málaga y Madrid.
110
Antonio Sanz @antoniosanzalc.bsky.social · 04/05/2025
2) "El Pimpi": an absolute classic for Malaga, go for "The Pimpi" (small sandwich with "pringá", delicious) 3) If you like tuna, it is in season... literally will blow your mind!
oxomuseo.com
Madrid, Málaga - OXO MUSEUM
OXO Museo del Videojuego es un innovador espacio cultural donde vivirás el pasado, presente y futuro en Málaga y Madrid.
110
Antonio Sanz @antoniosanzalc.bsky.social · 04/05/2025
Hi! This is the google maps that we used last year for our trip: www.google.com/maps/d/edit?... My bests: 1) "Antigua Casa de Guardia" for very interesting Malaga wines (try "Moscatel" & "Pedro Ximenez"), and the place is incredible
google.com
Malaga - Google My Maps
Malaga
200
Antonio Sanz @antoniosanzalc.bsky.social · 03/05/2025
Ey! Hope you enjoy it to the fullest! If you need "native guide" tips, I can give a couple nice places to eat / see in Malaga/Cordoba/Madrid 😀
110
Antonio Sanz @antoniosanzalc.bsky.social · 30/04/2025
1) El PDF: drive.google.com/file/d/1V3k3... 2) Los artículos: securityartwork.es/2025/04/07/b... 3) El CTF: ctf.communia.cc Muchas gracias de nuevo a Andres Yedra y Arturo Martínez por el currazo haciendo un CTF la mar de juguetón 🤩
drive.google.com
CTF_Baklava_Informe_DEF.pdf
000
Antonio Sanz @antoniosanzalc.bsky.social · 30/04/2025
Si te has leído mi serie de artículos sobre el writeup del #CTF #DFIR de Baklava, pero los quieres leer en "modo informe", aquí tienes todos los recursos:
100
Antonio Sanz @antoniosanzalc.bsky.social · 28/04/2025
Encantado con la gente de hackademics-forum.com por un viernes la mar de guapo hablando de #ransomware. La gente majísima, Córdoba preciosa, !un lujazo! Y las slides, aquí: bit.ly/ransom2025 (ojo que van con extras como os dije) 😉😎👩‍🚒
hackademics-forum.com
Hackademics Forum 2025
Hackademics Forum es un espacio de encuentro dedicado a la ciberseguridad que consistirá en una mañana de charlas y una mesa redonda.
000
Antonio Sanz @antoniosanzalc.bsky.social · 23/04/2025
Cuarta entrega del writeup #DFIR del #CTF de Baklava: www.securityartwork.es/2025/04/22/b...
securityartwork.es
Baklava CTF Writeup – Incident Report Style (IV) - Security Art Work
SRV01 Dado que es un activo crítico para la Organización, se solicita por su parte un análisis forense del servidor. Se procesan en primer lugar los logs de eventos por Hayabusa, obteniendo los siguie...
000
Antonio Sanz @antoniosanzalc.bsky.social · 22/04/2025
Este viernes 25 estaré en Córdoba en el Hackademics Forum 2025 hablando de lo que hemos visto en #DFIR de incidentes de #ransomware hackademics-forum.com Como digo siempre, de lo que se aprende mejor es de los errores de los demás, así que... !vente! 😉🔥👨‍🚒
hackademics-forum.com
Hackademics Forum 2025
Hackademics Forum es un espacio de encuentro dedicado a la ciberseguridad que consistirá en una mañana de charlas y una mesa redonda.
000
Antonio Sanz @antoniosanzalc.bsky.social · 15/04/2025
Tercer parte del writeup del #CTF #DFIR de ctf.communia.cc : www.securityartwork.es/2025/04/09/b...
ctf.communia.cc
BaklavaCTF
000
Antonio Sanz @antoniosanzalc.bsky.social · 09/04/2025
Segunda entrada de la resolución del CTF #DFIR Baklava : www.securityartwork.es/2025/04/08/s...
securityartwork.es
Baklava CTF Writeup – Incident Report Style (II) - Security Art Work
Contenido 4.2. WS02 – 192.168.20.42 Se ejecuta la herramienta Hayabusa sobre los logs, encontrando las siguientes alertas: ──────────────────────────────────────╮ │ Top critical alerts:               ...
000
Antonio Sanz @antoniosanzalc.bsky.social · 08/04/2025
Hacía tiempo que no publicaba nada en el blog de @s2grupo , y ya tocaba: securityartwork.es/2025/04/07/b... Es interesante pq además de la resolución del reto #DFIR ... !está en modo informe! 😎😉🧐
securityartwork.es
Baklava CTF Writeup – Incident Report Style (I) - Security Art Work
Contenido Informe de Incidente BAKLAVA Parte 1 1. ¡WARNING! ¡LÉEME PRIMERO! Este documento que estás leyendo es un informe “real” de un incidente ficticio, basado en el CTF DFIR que los compañeros And...
000
Reposted by Antonio Sanz
Kevin 🤖🕵️🍺 @stark4n6.bsky.social · 11/03/2025
Autopsy is finally back! 🐕‍🦺🕵🏼‍♂️ #DFIR
043
Antonio Sanz @antoniosanzalc.bsky.social · 10/03/2025
Mis slides de la charla de la #RootedCON2025 "12 años luchando contra grupos #APT: Qué cojones hemos aprendido", están disponibles aquí: bit.ly/joputasAPT (y sí, con los adoquines del Pilar se bastiona de lujo, altamente recomendados 😂🥳🧐)
111
Antonio Sanz @antoniosanzalc.bsky.social · 10/03/2025
Ya soy persona después de una nueva edición de la #rootedcon2025, intensa como pocas. Como siempre, una locura de charlas, gente, amigos y cosas que aprender. Volquetes de gracias a la Organización de la @rootedcon por hacer que todo fuera como la seda (!y sin bajas!) 🥳👏🤘💪
010
Antonio Sanz @antoniosanzalc.bsky.social · 07/02/2025
Y como ellos son tímidos y yo no tengo verguenza, os cuento cositas: van a hablar de "cuando las cosas se ponen chungas" a la hora de adquirir evidencias en #DFIR para un incidente o una pericial. Si quieres estar preparado para (casi) todo, !vente! 😎😎😎
000
Antonio Sanz @antoniosanzalc.bsky.social · 07/02/2025
Ayer me alegraron el mes: a dos de mis compañeros del equipo de #DFIR de @s2grupo (@nomed__1 y @alejandrochiri_ ) !!! les han aceptado su charla en la #RootedCON2025 !!! -> Wiiiiiiiiiiiiiiiiiiiiiiiiiiii 🥳🥳🥳🥳🥳🥳🥳
110
Antonio Sanz @antoniosanzalc.bsky.social · 05/02/2025
Muchos ya sabéis que @unizar es mi segunda casa😊. Este 17 de febrero de 17 a 18h en la @einaunizar.bsky.social daré una charla sobre cómo es trabajar en #ciberseguridad dentro de las NeoCOM24/25 organizadas por la @AATUZ. Si te pica la curiosidad (buena señal), !pásate y pregunta! 🤘💪👍
031
Antonio Sanz @antoniosanzalc.bsky.social · 03/02/2025
Un verdadero placer volver a estar en la #RootedCON2025 este año, además contando algo que conozco muy bien (hostias mediante): Cómo luchar contra APT (Advanced Persistent Threats). Muchas batallitas, algún que otro salseo, !y como siempre mucha mala baba! ¿A qué esperáis? 😎🥳🤘
021
Antonio Sanz @antoniosanzalc.bsky.social · 29/01/2025
El concepto se llama "forensic readiness": que cuando tengas un incidente (ojo, no digo "si", digo "cuando"), el equipo de #DFIR tenga todo lo necesario y solo necesite una cafetera recien hecha para empezar (3/EOL) :D
000
Antonio Sanz @antoniosanzalc.bsky.social · 29/01/2025
Así que es un buen momento para ver si tu cortafuegos guarda logs, de qué tipo, y durante cuánto (y quien dice cortafuegos, dice cualquier cacharro que pueda tener info de interés, ya sabes...) (2/n)
100
Antonio Sanz @antoniosanzalc.bsky.social · 29/01/2025
Los que curramos en #DFIR funcionamos a base de evidencias, cafeína y una mezcla de odio y curiosidad. Pero las evidencias son nuestra base: si no tenemos, no podemos darte resultados sólidos, solo hipótesis basadas en nuestra experiencia (1/n)
110
Antonio Sanz @antoniosanzalc.bsky.social · 28/01/2025
Pero no pasa nada pq la clave de cifrado la tienes exportada en un papel dentro de tu caja fuerte ... !!¿¿VERDAD??!! . Anda, revisa eso porque ya nos pasó en dos incidentes el año pasado ... 😅😅😅
000
Antonio Sanz @antoniosanzalc.bsky.social · 28/01/2025
Escenario: tienes tu backup en S3 vía Veeam Backup, con cifrado (por seguridad, you know). Si te cae un #ransomware a nivel de ESX, van a arrasar con TODAS tus VM... incluida la del Veeam Backup (1/2)
100
Reposted by Antonio Sanz
SwiftOnSecurity @swiftonsecurity.com · 23/01/2025
Doing external IR for hands-on-keyboard is crazy hard, it's not something I really do much but on occasion observe. The layers of people and systems and fog of war and butt covering and breadth of skills and investigative practice and tracking of threads of information and timeline mapping. Crazy.
91226
Reposted by Antonio Sanz
Marc Rivero | @seifreed @seifreed.bsky.social · 15/01/2025
The Nearest Neighbor Attack: How A Russian APT Weaponized Nearby Wi-Fi Networks for Covert Access buff.ly/3PuPNuC
buff.ly
The Nearest Neighbor Attack: How A Russian APT Weaponized Nearby Wi-Fi Networks for Covert Access
In early February 2022, notably just ahead of the Russian invasion of Ukraine, Volexity made a discovery that led to one of the most fascinating and complex incident investigations Volexity had ever…
012
Antonio Sanz @antoniosanzalc.bsky.social · 16/01/2025
Y si encima sabe de la parte técnica, ya ni te cuento :D. En resumen: En #DFIR (y en realidad en #ciberseguridad), en equipo somos más potentes 🤟💪🧑‍🚒👩‍🚒
media.tenor.com
two men are sitting next to each other and one of them is saying teamwork
ALT: two men are sitting next to each other and one of them is saying teamwork
010
Antonio Sanz @antoniosanzalc.bsky.social · 16/01/2025
Luego el vocalizar tb ayuda a descubrir nuevas hipótesis y cosas que a lo mejor no has tenido en cuenta (nuestros cerebros funcionan de forma curiosa a veces). Y luego, no desdeñes el valor de una persona que sepa investigar, porque va a saber hacer las preguntas correctas (2/n)
100
Antonio Sanz @antoniosanzalc.bsky.social · 16/01/2025
Si estás en una investigación de un incidente #DFIR, y estás bloqueado: comenta el incidente con alguien (obviamente siguiendo las normas TLP). El mero hecho de tener que explicar a alguien te fuerza a ordenar las ideas... y te las aclara a ti mismo (1/n)
100
Antonio Sanz @antoniosanzalc.bsky.social · 24/12/2024
Feliz Navidad a toda la buena gente de #ciberseguridad, sobre todo a los equipos del SOC que hoy les toca currar velando a que todo esté en orden. A ver si los malos cambian por un día el teclado por el vodka... 🙌🤟🫡
130