usuario@tty503:~$ whoami

Christian
Márquez

Threat intelligence, ingeniería inversa de malware, exploit development y seguridad en infraestructuras críticas. Del firmware de microcontroladores al análisis de APTs, opero en todas las capas —del registro del procesador a la topología de una red ofuscada, del PLC que controla una subestación al SIEM que correlaciona eventos en tiempo real— diseñando infraestructura resiliente, desarmando binarios a bajo nivel y documentando cada hallazgo desde Venezuela.

Threat Intelligence Reverse Engineering Exploit Development Malware Analysis PLC Siemens OT Security DevSecOps Ghidra Assembly x86 Evasión de Firmas
Christian Márquez - Threat Intelligence, Ingeniería Inversa, Exploit Development y Seguridad OT

Sobre_mí

Mi ruta no ha sido lineal. He pasado del firmware de microcontroladores al análisis de amenazas persistentes avanzadas, de la shellcode artesanal a la automatización de infraestructura completa. Esa amplitud —operar con soltura desde el registro del procesador hasta la topología de una red ofuscada, desde el PLC que controla un actuador físico hasta el SIEM que correlaciona eventos en tiempo real— es lo que define mi enfoque. No me especializo en una capa: entiendo cómo se conectan todas, y eso me permite trazar vectores de ataque que otros pasan por alto. En un contexto donde la infraestructura crítica de Venezuela se ha convertido en terreno de disputa cibernética, comprender la intersección entre operational technology, redes de telecomunicaciones y threat intelligence no es un lujo: es una necesidad.

Mi trayectoria es completamente autodidacta, forjada desde 2012 a base de curiosidad técnica y práctica constante. Desde la programación de microcontroladores y el desarrollo de firmware hasta el diseño de túneles de red ofuscados, el análisis de malware a bajo nivel en Assembly x86/ARM64, la ingeniería inversa de protocolos industriales y el exploit development con ROP y shellcode, cada disciplina alimenta a las demás. Este perfil híbrido —que combina threat intelligence, reversing profundo, desarrollo de exploits y automatización DevSecOps— es el que demandan los equipos de ciberdefensa que enfrentan adversarios reales, no simulacros.

Actualmente, mi investigación se centra en la inteligencia de amenazas aplicada a fraudes financieros transfronterizos, la ingeniería inversa de malware, el desarrollo de exploits, la seguridad de entornos industriales OT/PLC y el desarrollo de herramientas propias para automatizar el análisis forense. Mi objetivo es la maestría técnica a través de la práctica deliberada y la documentación precisa de cada hallazgo.

Ver mi ruta completa

Experiencia_Técnica

/ Infraestructura y Seguridad

+

Consultor en Automatización e Infraestructura

tty503 | Ene 2026 - Abr 2026

Qué hice: Autonomicé despliegues con Ansible y Terraform sobre Linux, configurando entornos aislados con Proxmox, QEMU y Docker.

Qué ofrecí: Infraestructura escalable y segura, junto con túneles de tráfico residenciales para facilitar el análisis de plataformas.

Qué aprendí: Orquestación avanzada de máquinas virtuales y validación de sistemas mediante automatización estricta en Python/Bash.

Especialista en Ingeniería Inversa y Seguridad

tty503 | Abr 2024 - Dic 2024

Qué hice: Ejecuté ingeniería inversa sobre binarios mediante análisis estático con Ghidra e IDA, y analicé tráfico de red con mitmproxy.

Qué ofrecí: Extracción de lógica en binarios ofuscados, manipulación de mecanismos anti-tamper y desarrollo de herramientas forenses en Bash para el triage de malware.

Qué aprendí: Interacción a bajo nivel con binarios compilados y metodologías para desmantelar mecanismos de protección en entornos restringidos.

Administrador de Sistemas Linux

tty503 | Ene 2022 - Jun 2022

Qué hice: Administré servidores Debian/Ubuntu (físicos y virtuales), configurando redes y cortafuegos.

Qué ofrecí: Conectividad segura y automatización de mantenimientos/backups para garantizar la continuidad operativa de servicios internos.

Qué aprendí: Diagnóstico resolutivo de incidencias mediante auditoría profunda de logs del sistema.

/ Desarrollo de Software y Firmware

+

Desarrollador Backend y Scripting

tty503 | Mar 2024 - May 2024

Qué hice: Desarrollé APIs REST con FastAPI (Python) integradas con bases SQL (PostgreSQL, MySQL) a través de SQLAlchemy.

Qué ofrecí: Backend robusto y documentado desplegado sobre contenedores Docker, con tareas automatizadas en Bash.

Qué aprendí: Arquitectura ágil de bases de datos y orquestación limpia de microservicios.

Desarrollador de .NET

Kexe | Nov 2023 - Mar 2024

Qué hice: Mantuve y desarrollé un sistema empresarial modular en C# (.NET Framework/Core) colaborando bajo metodología SCRUM.

Qué ofrecí: Implementación íntegra de un módulo de reportes de gastos con filtros dinámicos, integrado con DevExpress.

Qué aprendí: Refactorización crítica de lógica de negocio y controladores sin interrumpir operativas existentes.

Profesional de Apoyo (Hardware/Firmware)

CENDIT | Oct 2022 - Nov 2023

Qué hice: Programé firmware en C para microcontroladores PIC (18 y 24) en entornos de proyectos médicos y educativos.

Qué ofrecí: Implementación estable de protocolos I2C/UART y documentación algorítmica precisa en LaTeX y PlantUML.

Qué aprendí: Rigurosidad en el desarrollo orientado a hardware, electrónica básica y control de versiones institucional.

Desarrollador Web y Scripting

Independiente | Jul 2021 - Dic 2021

Qué hice: Desarrollé scripts en Python/PHP y colaboré en la construcción de proyectos web usando HTML y jQuery.

Qué ofrecí: Automatización temprana de flujos de trabajo e inicialización de entornos LAMP/LEMP en servidores VPS.

Qué aprendí: El ciclo base de despliegue web y los fundamentos de automatización de servidor.

/ Divulgación y Redacción Técnica

+

Blog Contributor

ReldSec | Jun 2017 - Nov 2019

Qué hice: Escribí artículos técnicos centrados en ciberseguridad y programación, apoyando con scripts internos (Python/PHP).

Qué ofrecí: Contenido formativo valioso para la comunidad y herramientas personalizadas para el equipo editorial.

Qué aprendí: Sistematización de la investigación técnica, dinámicas de trabajo colaborativo y control de versiones a nivel básico.

Investigaciones_Temáticas

/ Análisis de Malware y Threat Intel

+

Campaña NetSupport RAT: "Caja de Belleza Lancôme"

Deconstrucción de una campaña de infección activa dirigida a usuarios en España utilizando señuelos de marcas de belleza reconocidas.

Triage Rápido: Desmontando el Dropper Nexilo-CC-Checker

Aislamiento en Proxmox VE, scripting para volcado de memoria (dump.sh) y levantamiento a pseudo-C en Ghidra de un dropper evasivo.

Nexilo-CC-Checker: Dropper multi-etapa

Análisis de malware distribuido vía Telegram, uso de API Hashing para evasión y despliegue modular de un Clipper e InfoStealer.

Mirai 0/65 en VirusTotal: Evasión de firmas estáticas con ASM

Prueba de concepto de ofuscación (Builder en C + Stub ASM x86) usando aritmética para reducir la detección de malware a cero. Publicación completa en el sitio.

Ciclo Completo de Fraude Financiero: Lumma Stealer

Desmantelamiento de campaña BEC desde el robo de credenciales y acceso a VPS hasta la monetización mediante Crypto Scams en Telegram.

MagisTV: Evasión, persistencia y posible botnet

Auditoría a la app de streaming pirata. Arquitectura del APK, técnicas de evasión (DGA, HTTP DNS) y riesgos del modelo de negocio oculto.

Notas técnicas exportadas

analystty — Automatización de Triage de Malware NOTAS

Herramienta interna en Python para automatizar el análisis estático de archivos PE, detección de APIs maliciosas, mapeo de TTPs e integración con x64dbg. Stack: Capstone, pefile, malapi.json.

Evasión Estática a Bajo Nivel: Destruyendo Firmas de Mirai con Aritmética en ASM ARTÍCULO

Polimorfismo manual en Assembly para tumbar detecciones de 16/64 a 0/65 en VirusTotal. Stub descifrador en NASM con claves dinámicas, propuesta de arquitectura DGA mutante con validación Denuvo-like, 8 diagramas PlantUML y correlación con MITRE ATT&CK (T1027, T1562.001, T1568.002).

Threat Hunter Recollection: Una Crónica de Caza Conectando Campañas NOTAS

Cinco investigaciones reales conectadas por un mismo hilo metodológico. Del mapeo OSINT de una red de estafa piramidal global al reversing de un dropper multi-etapa, pasando por la deconstrucción de NetSupport RAT y el análisis de infraestructura BEC.

Red de Estafa "Pig Butchering" — Fake Crypto Exchange Multi-Dominio NOTAS

Investigación técnica de una red de estafa tipo Pig Butchering con rotación rápida de dominios, WebSocket con Workerman PHP, API con captcha roto y certificados falsos. Incluye IoCs, diagramas de infraestructura y referencias al FBI, DOJ y Europol.

Operación FakeWealth: Inteligencia de Amenazas sobre cmdxcapital NOTAS

Investigación de threat intelligence sobre una red de fraude financiero con infraestructura en Cloudflare y Google Cloud. Crash de Laravel con appDebug:true en producción, bypass de captcha, migración de wallets Bitcoin y spoofing de Companies House UK.

Operaciones General JP y SilentWarn: Dos Campañas de Phishing Conectadas NOTAS

Investigación de threat intelligence sobre dos campañas de phishing activas. General JP: redirección multi-capa, Google Cloud Storage, Filemail API y kit PHP con exfiltración a Telegram. SilentWarn: React + EmailJS + SMTPjs, geofencing para Vietnam. IoCs, patrones de infraestructura y correlación con investigaciones previas.

/ Ingeniería Inversa y Low-Level

+

/ Exploit Development y Binary Exploitation

+
Notas técnicas exportadas

Exploit Development en Entornos OT: Del AWL al Shellcode en PLC Siemens, ROP sobre ARM/MIPS y Bypass de Sandbox ARTÍCULO

Cierre del ciclo entre reversing de AWL/MC7/MC7+ y exploit development. Análisis del ecosistema de herramientas (JEB Decompiler, rz-libmc7, Ghidra). Caso central: CVE-2020-15782 (Claroty Team82), sandbox escape con ejecución de código nativo ARM/MIPS en kernel ADONIS. Cuatro workshops prácticos: shellcode AWL, ROP sobre MC7, fuzzing de Modbus/S7comm con AFL++, y cadena completa drive-by → sandbox escape → modificación física de salidas en S7-1200. Guía de laboratorio ICS con costos, red OT segmentada e integración con túnel ofuscado.

Laboratorio de Exploit Development: Arquitectura del Kernel, Binarios y ROP en la Práctica ARTÍCULO

Bitácora de un mes de laboratorio intensivo. Windows Internals, drivers KMDF/UMDF, formatos PE/ELF/DEX, Assembly x86/AMD64/ARM64, shellcode injection, ROP con cadena funcional en 64 bits, y disección de cuatro CVEs reales en Chrome V8 y WebRTC. Incluye laboratorio práctico con VirtualBox, INetSim, fakedns y plan de retoma con diez tareas priorizadas.

De la Shellcode Artesanal al C2 Builder NOTAS

Evolución técnica de un dropper de shellcode en C/Assembly (WinExec/ExitProcess) a un framework de malware con panel C2 en C#. Incluye compendio extenso de técnicas: inyección clásica, DLL injection, APC injection, thread hijacking, API hooking, XOR encryption, API hashing, y persistencia.

Assembly para Ingeniería Inversa: Guía de Referencia Rápida ARTÍCULO

Stack frames, convenciones de llamada (cdecl/stdcall/SystemV/Windows x64), estructuras en memoria, heurísticas de identificación de funciones y patrones de desensamblado para threat analysts y exploit developers.

Evasión Estática a Bajo Nivel: Destruyendo Firmas de Mirai con Aritmética en ASM ARTÍCULO

Polimorfismo manual en Assembly x86 para evadir firmas YARA. Stub descifrador en NASM, generador de claves dinámicas en C++, y propuesta de infraestructura DGA mutante con validación Denuvo-like. De 16/64 a 0/65 en VirusTotal.

/ Malware Dev y Técnicas Ofensivas

+

/ Seguridad OT e Infraestructura Crítica

+

/ Blue Team y Defensa Activa

+

Artículos_del_Sitio

Documentación técnica en profundidad publicada exclusivamente en tty503.com. Análisis de malware a nivel de bytes, exploit development, deconstrucción de infraestructuras criminales, automatización de laboratorios y auditorías de seguridad ofensiva.

/ Malware Analysis & Ingeniería Inversa

+

Exploit Development en Entornos OT: Del AWL al Shellcode en PLC Siemens, ROP sobre ARM/MIPS y Bypass de Sandbox ARTÍCULO

Cierre del ciclo entre reversing de AWL/MC7/MC7+ y exploit development. JEB Decompiler, rz-libmc7, Ghidra. CVE-2020-15782 (Claroty Team82): sandbox escape con ejecución nativa ARM/MIPS en kernel ADONIS. Cuatro workshops y guía de laboratorio ICS.

Laboratorio de Exploit Development: Arquitectura del Kernel, Binarios y ROP en la Práctica ARTÍCULO

Bitácora de un mes de laboratorio. Windows Internals, drivers KMDF, formatos PE/ELF/DEX, Assembly x86/AMD64/ARM64, shellcode, ROP en 64 bits, y disección de CVEs reales en Chrome V8 y WebRTC. Incluye laboratorio con VirtualBox, INetSim y fakedns.

Evasión Estática a Bajo Nivel: Destruyendo Firmas de Mirai con Aritmética en ASM ARTÍCULO

Cómo pasé una muestra real de Mirai de 16/64 a 0/65 en VirusTotal sin packers ni crypters. Polimorfismo manual en Assembly, stub descifrador en NASM con fórmula aritmética dinámica, y propuesta de arquitectura de entrega mutante con DGA.

analystty — Automatización de Triage PE con Python, Capstone y pefile ARTÍCULO

Herramienta que extrae imports, detecta TTPs, desensambla la sección .text y genera breakpoints para x64dbg de forma automática. Incluye caso real con un Dropper multi-etapa y API Hashing.

De winshellcode a BugBuilder: Compendio de Técnicas de Inyección y C2 en Windows ARTÍCULO

Tres años de evolución documentados. Más de 20 técnicas: inyección clásica, APC, thread hijacking, API hooking, cifrado XOR, API hashing y persistencia. Incluye panel C2 estructurado.

Ingeniería Inversa de PLC Siemens MC7: Deficiencia Estructural de Logs en Infraestructuras Críticas ARTÍCULO

Laboratorio de reversing sobre la máquina virtual MC7 y el lenguaje AWL. Correlación de volcado hexadecimal con rizin. Ausencia total de registros de auditoría en sistemas reales.

Assembly para Ingeniería Inversa: Guía de Referencia Rápida ARTÍCULO

Stack frames, convenciones de llamada (cdecl/stdcall/SystemV/Windows x64), estructuras en memoria, heurísticas de identificación de funciones y patrones de desensamblado.

/ Threat Intelligence & Investigaciones de Fraude

+

/ Infraestructura Defensiva & Ofensiva

+

/ AppSec & Pentesting

+

/ Red Team & Técnicas de Evasión

+

Exploit Development OT: Del AWL al Shellcode en PLC Siemens, ROP y Bypass de Sandbox ARTÍCULO

CVE-2020-15782, sandbox escape ARM/MIPS en kernel ADONIS. Cuatro workshops: shellcode AWL, ROP, fuzzing y cadena completa drive-by → proceso físico. Guía de laboratorio ICS.

Laboratorio de Exploit Development: Kernel, Binarios y ROP ARTÍCULO

Windows Internals, drivers KMDF, Assembly, shellcode, ROP en 64 bits, CVEs reales diseccionados. Laboratorio práctico con VirtualBox, INetSim y fakedns. Plan de retoma con 10 tareas.

Evasión Estática: Destruyendo Firmas de Mirai con Aritmética en ASM ARTÍCULO

De 16/64 a 0/65 en VirusTotal. Stub descifrador en NASM, claves dinámicas en C++, DGA mutante con validación Denuvo-like. 8 diagramas y correlación MITRE ATT&CK.

El Arte de la Paciencia: Cómo un Script de 15 Líneas Puede Iniciar una Brecha ARTÍCULO

PoC que abusa del mecanismo de caché de sudo (T1548.003). Elevación a escenario real con ofuscación y evasión. Incluye reglas de auditd para detección Blue Team.

De winshellcode a BugBuilder: Técnicas de Inyección y C2 en Windows ARTÍCULO

Más de 20 técnicas: inyección clásica, APC, thread hijacking, API hooking, XOR, API hashing y persistencia. Builder con panel C2 en C# y compilación automatizada de payloads.

Infraestructura Ofuscada: WireGuard sobre TCP Falso + Proxy Residencial ARTÍCULO

Túnel WireGuard encapsulado en TCP falso mediante udp2raw. Enmascaramiento con redsocks + SOCKS5 residencial. DNS blindado con dnscrypt-proxy. Despliegue en 90s.