CAPÍTULO 4 #2

—Entonces le damos el acceso —dijo. Morales y Trejo lo miraron al mismo tiempo—. Le damos un acceso controlado por nosotros. Modificamos el payload.

—En lugar de darle acceso total al backbone, le damos acceso a una versión espejo que construyo esta noche.

Una jaula digital. Sokolov va a creer que está adentro del sistema real, va a empezar a operar, va a moverse libremente dentro de la jaula.

Y cada acción que ejecute nos va a dar información sobre sus métodos, sus prioridades y la estructura de mando por encima de él.

—Eso es un honeypot de escala industrial —dijo Trejo—. Me llevaría tres semanas construir algo así en condiciones normales.

Ferrero miró el reloj de pared.

—Lo tenemos listo en nueve horas —dijo—. Arrancamos ahora.

Nueve Horas

A las 20:15 Ferrero dividió las tareas. Trejo quedó a cargo del análisis del payload original: desempaquetar el binario, identificar las dependencias, mapear los puntos donde el código interactuaba con el sistema de autenticación del backbone.

Morales se encargó de la logística: conseguir el hardware adicional para montar la jaula, cubrir los accesos al búnker durante la noche, y asegurar que nadie asociado a Sokolov tuviera visual sobre Santa Rosa 1060.

Ferrero se ocupó de la arquitectura. Construir el honeypot en nueve horas exigía saltear tres fases que normalmente llevarían semanas.

El primer monitor quedó ocupado con el análisis de Trejo. El segundo con el diseño de red de la jaula. El tercero con el log de actividad de los siete operadores comprometidos, para detectar cualquier movimiento coordinado que indicara que Sokolov ya sospechaba algo.

A las 21:03 Trejo reportó el primer hallazgo.

—El payload no es solo un reemplazo de la rutina de autenticación —dijo—.

Tiene un segundo componente. Un watchdog que se instala en el hipervisor y verifica cada cuatro minutos que la conexión con el servidor de Sokolov esté viva.

Si pierde señal más de seis minutos, ejecuta un comando de autodestrucción que borra las últimas setenta y dos horas de logs del backbone.

Ferrero no apartó la vista de su monitor. —Eso significa que si Sokolov sospecha que estamos adentro, puede apagarnos con un comando remoto — dijo—.

—Tenemos que replicar el watchdog en la jaula. Si no lo replicamos, la ausencia de señal lo alerta en seis minutos.

—Puedo replicarlo —dijo Trejo—. Me lleva unas dos horas. Pero necesito una máquina adicional que simule la respuesta del servidor real. Cualquier diferencia técnica, por mínima que sea, le dispara la alarma a Sokolov en segundos.

Morales ya estaba saliendo del búnker con una lista en la mano.

Volvió a las 22:40 con dos servidores Dell usados que había conseguido a través de un proveedor informal de Barrio Centro América, un switch administrable de segunda mano y cuatro discos SSD nuevos en sus cajas originales.

Lo descargó todo sobre el piso de concreto y se sacó la campera.

—¿Ayuda en algo si ordeno los cables? —preguntó.

—Todo ayuda —dijo Ferrero—. Los cables sobre el rack izquierdo, colores separados. Lo negro con negro, lo azul con azul. La fuente de alimentación afuera del gabinete principal. No queremos calentar el espacio.

Morales asintió y se puso manos a la obra.

A las 23:48 Trejo terminó de aislar los dos componentes del payload y reescribió el watchdog en una versión que enviaría señales falsas a Sokolov cada cuatro minutos.

Ferrero terminó de montar la arquitectura de la jaula a las 00:52: un conjunto de máquinas virtuales que simulaban una réplica completa del backbone, con versiones idénticas de los servidores principales, bases de datos alimentadas con copias de datos reales de hasta una semana antes, y registros de actividad falsa generados por un script que Ferrero había programado en tres años de trabajo y ahora modificaba para este caso.

A la 01:34 conectaron los tres sistemas: jaula, watchdog y pendrive modificado.

Hicieron la primera prueba integral. Ferrero ejecutó el payload en una máquina de testing aislada y esperó.

El watchdog envió la primera señal en tres minutos y cincuenta y ocho segundos.

El servidor simulado respondió con un paquete correctamente formado.

Sokolov del otro lado iba a recibir exactamente la respuesta que esperaba.

—Funciona —dijo Trejo—. Si no hay cambios de protocolo de acá a las 03:30, funciona.

Ferrero miró el reloj. Faltaba una hora y cincuenta y seis minutos para que Trejo estuviera en el subsuelo técnico con el pendrive en la mano.

Morales apareció desde el fondo del búnker con tres cafés recién hechos.

—Descansen veinte minutos —dijo—. Después te llevo, Flaco. Y durante las dos horas que estés adentro, yo me quedo afuera de la Jefatura con visual sobre tres salidas.

Trejo tomó el café con las dos manos.

—Si no salgo a las 03:45 —dijo—, no entren a buscarme.

Subsuelo Técnico

A las 02:34 Trejo entró al edificio por el acceso de personal nocturno sobre Santa Fe, mostró la credencial al guardia con la familiaridad de quien lo hacía una vez por semana y firmó el registro con el motivo mantenimiento preventivo rack Nodo Norte.

El guardia bostezó y le devolvió la credencial sin mirarlo a la cara.

Trejo subió por el ascensor hasta el cuarto piso, esperó noventa segundos simulando consultar el teléfono, y bajó por la escalera lateral hasta el subsuelo técnico.

El pendrive modificado lo llevaba en el bolsillo interno, junto a un analizador portátil de red con memoria de ocho gigabytes que Ferrero le había dado antes de salir del búnker.

Su función era capturar el tráfico generado por el payload desde la conexión hasta el retiro del pendrive.

Si algo salía mal, Ferrero quería el registro completo de esos cuarenta y siete segundos.

El subsuelo estaba vacío. Un pasillo de cuarenta metros con puertas metálicas numeradas, iluminado a la mitad de su capacidad. El rack principal del Nodo Norte estaba en la sala 12, al final del pasillo, detrás de una puerta con lector biométrico.

Trejo apoyó el pulgar sobre el lector. La puerta se abrió con un click mecánico.

Entró y cerró detrás de sí. La sala medía seis metros por cuatro y albergaba cuatro racks en paralelo, con LEDs verdes de actividad.

El rack del Nodo Norte era el tercero, identificable por la etiqueta metálica en la parte superior.

La consola de administración estaba en el centro del rack, detrás de un panel que se abría con una llave mecánica del llavero institucional.

Abrió el panel. Conectó el analizador al puerto de diagnóstico del switch superior. Activó la captura. Insertó el pendrive en el puerto USB de la consola principal. El conteo empezó.

Uno. La consola mostró el reconocimiento del dispositivo y una solicitud de autenticación. Trejo ingresó la contraseña que Sokolov había incluido en las instrucciones.

Siete.

La consola aceptó la contraseña. El payload empezó a ejecutarse. Una línea de comando apareció con un mensaje en inglés que pedía confirmación para reemplazar la rutina de autenticación.

Dieciocho.

Trejo confirmó con Enter. El script empezó a correr. Los primeros componentes se instalaron sin incidencias. El watchdog modificado envió su primera señal al servidor ficticio del búnker. La respuesta llegó en ochocientos milisegundos.

Treinta y uno.

Ferrero recibió la confirmación y lanzó el segundo script. La jaula digital se activó y empezó a responder en tiempo real a cualquier consulta de Sokolov.

Cuarenta y dos.

El script principal completó su instalación. La pantalla mostró el mensaje final: AUTHENTICATION MODULE UPDATED SUCCESSFULLY. SYSTEM REBOOT SCHEDULED IN 00:03:00.

Cuarenta y siete.

Trejo retiró el pendrive. Cerró el panel con la llave mecánica.

Desconectó el analizador y lo guardó en el bolsillo.

Salió de la sala, cerró la puerta y caminó por el pasillo hacia la escalera lateral con el paso de quien termina una tarea de rutina.

Subió hasta el acceso de personal sobre Santa Fe.

Firmó la salida con el mismo guardia. Salió a la vereda y caminó hasta Santa Rosa.

El Peugeot de Morales lo esperaba en la esquina con el motor encendido y las luces apagadas. Trejo subió al asiento del acompañante.

—Entró limpio —dijo—. Sokolov ya está adentro de la jaula.

Morales arrancó sin responder. Eran las 03:41 de la madrugada.

Romina

Ferrero llegó a su departamento a las 05:48 de la mañana.

Vivía en un monoambiente de cuarenta metros cuadrados en el piso seis de un edificio viejo sobre calle Tucumán al 600, a seis cuadras de la Jefatura.

Lo había alquilado hacía cuatro años, después de la separación de Romina, y lo mantenía vacío de cualquier objeto personal significativo.

Un colchón sobre un somier metálico, una mesa plegable, dos sillas, un armario con tres camisas y un par de zapatos, una cafetera y un paquete de yerba.

Nada que pudiera usarse contra él si alguien decidía entrar y buscar.

Se sacó la campera, se tiró vestido sobre el colchón y miró el techo cuatro minutos. Después sacó el teléfono personal, abrió la aplicación cifrada y escribió un mensaje. Romina. ¿Puedo pasar esta tarde a ver a Mía? Necesito charlar algo.

Esperó. Romina estaba dormida a esa hora. La respuesta llegó a las 07:23, cuando Ferrero ya había dormido una hora y media en intervalos rotos. Después del colegio. Cuatro de la tarde. No llegues tarde, tenemos turno con la pediatra a las cinco.

Ferrero respondió con una palabra: Confirmado. Cerró los ojos e intentó dormir dos horas más. Lo logró a medias.