01
Ransomware
Publicaciones de los sitios de filtración de cinco rastreadores independientes, en un único listado con filtros, país y sector.
Inteligencia continua Ransomware, fuentes de amenazas, vulnerabilidades explotadas, MITRE ATT&CK, dark web y Telegram, OSINT, exposición y fugas.
Inteligencia de amenazas real
ORCA CTI reúne víctimas de ransomware, IoCs, vulnerabilidades explotadas, MITRE ATT&CK, dark web y OSINT en una sola consola. Cada dato sale de una fuente pública verificable y cada analista trabaja en su propio espacio, aislado del resto.
- Fuentes
- Ransomware · IoCs · CVE · ATT&CK · Dark web · OSINT
- Principio
- Solo datos reales
01Qué vigila
Todo el panorama, desde fuentes reales.
Deja de saltar entre veinte pestañas. ORCA sincroniza rastreadores de ransomware, feeds comunitarios, los catálogos de MITRE y CISA, la dark web y fuentes OSINT. Si una fuente falla, verás el error real; nunca un hueco rellenado.
- Fuentes públicas y citadas
- Sin datos de ejemplo
- Los fallos se ven, no se esconden
Cómo se trabaja04
- 01
Recolección
Feeds, sitios de filtración, catálogos y canales públicos, sincronizados y con su fecha de obtención.
- 02
Procesamiento
Normaliza registros, desofusca indicadores y enriquece con EPSS, CVSS de NVD, país y sector.
- 03
Análisis
ATT&CK, modelo Diamante, ACH y Pirámide del Dolor. La conclusión la firma el analista.
- 04
Difusión
Informes con escala de Kent y TLP 2.0, bundles STIX 2.1 y listas para tu cortafuegos o SIEM.
02
Fuentes de amenazas
17 feeds comunitarios sin clave (abuse.ch, DShield, Spamhaus DROP, OpenPhish, Tor…) y búsqueda cruzada de cualquier indicador.
03
Vulnerabilidades explotadas
El catálogo CISA KEV completo con EPSS de FIRST, CVSS de NVD y señales de exploit público: Exploit-DB, PoC-in-GitHub, OSV y GitHub Advisories.
04
ATT&CK, CAPEC y actores
Matriz Enterprise sincronizada desde mitre/cti, mapa de calor por adversario, CAPEC y perfiles de grupos de ATT&CK enriquecidos con MISP Galaxy (país, patrocinio y sectores).
05
Dark web y Telegram
Índices de servicios onion (Ahmia, deepdarkCTI), canales públicos de Telegram de bandas, infostealers y objetivos de DDoSia. Sin Tor ni cuentas.
06
OSINT y actualidad
Quince áreas de metodología OSINT con consultas en vivo (RDAP, DNS, Certificate Transparency) y 30 fuentes RSS de CERT, fabricantes e investigadores.
07 Bajo autorización
Exposición y fugas
¿Pudo salir la fuga de un cliente de lo que tenía expuesto? ORCA lo investiga en pasivo, sin tocar sus sistemas, y sitúa cada hallazgo antes o después de la fecha de la fuga.
¿Ya tienes invitación? Tu espacio te está esperando.
Entrar02El método
Metodología CTI, no un agregador más.
El ciclo de inteligencia completo, con técnicas analíticas estructuradas y el analista siempre en el centro: él valida, clasifica y decide qué se difunde.
Ciclo de inteligencia5 fases
Pirámide del Dolor
Cada IoC se clasifica por lo que le cuesta al adversario cambiarlo, del hash a la TTP.
Análisis estructurado
ACH de Heuer contra el sesgo de confirmación, modelo Diamante y Cyber Kill Chain en cada dossier.
Lenguaje estimativo
Juicios con la escala de Sherman Kent: «muy probable» significa 70-90 %, no una corazonada.
TLP 2.0 de verdad
El rol lector nunca recibe contenido TLP:RED ni AMBER+STRICT: se filtra en el servidor.
Por diseño
Las fuentes principales indican cuándo se obtuvieron los datos y si vienen en vivo o de caché. Si una fuente cae, ORCA muestra el error real en pantalla en lugar de inventar datos.
- 5rastreadores de sitios de filtración de ransomware
- 17feeds de amenazas comunitarios, sin clave
- 30fuentes RSS de CERT, fabricantes e investigadores
- 7proveedores de IA, siempre con tu propia clave
03La plataforma
Todo el ciclo, en una consola.
De la fuente abierta al informe firmado: los módulos que usa un equipo de CTI, con datos reales y sin relleno.
Extractor + fuentes de amenazas
Del texto en bruto al indicador accionable
Pega un correo, una nota de rescate o un log con indicadores ofuscados. ORCA los desofusca, los extrae y te deja cruzarlos con los feeds comunitarios antes de decidir qué hacer con ellos.
- 01Desofuscadohxxp, [.], [dot], [:] y [/] a su forma real
- 02ExtracciónIPs, dominios, hashes MD5/SHA-256 y CVE
- 03Correlación13 feeds, OTX, GreyNoise, URLScan
- 04ClasificaciónPirámide del Dolor y TLP 2.0
- 05ExportaciónLista .txt o CSV
01 · IoCs y Pirámide del DolorVista ilustrativa
IoCs clasificados por la Pirámide del Dolor
Indicadores reales de abuse.ch y OTX más los tuyos, con TLP, confianza y notas. Se exportan a CSV o como lista .txt para tu cortafuegos.
02 · Asistente IAVista ilustrativa
Asistente IA con tu propia clave
Chat y borradores de informe a partir de los datos reales de la plataforma, con el proveedor que elijas entre siete. Sin clave configurada, te lo dice.
03 · MITRE ATT&CK por adversarioDatos de MITRE · subconjunto
Wizard Spider: 22 de estas 24 técnicas, según MITRE (grupo y su software).
La matriz real, filtrada por adversario
ATT&CK Enterprise completo desde mitre/cti, resaltado con las relaciones «uses» reales de cada grupo y su software, y exportable como capa de ATT&CK Navigator.
04 · Grafo de conocimientoSTIX 2.1
Grafo de conocimiento STIX 2.1
Actores, malware y técnicas como objetos STIX con relaciones navegables. Exporta bundles y consulta el servidor TAXII 2.1 de MITRE.
05 · InformesVista ilustrativa
Informes con Kent y TLP
Estructura formal, juicios con la escala de Sherman Kent y marcado TLP 2.0. Seis tipos de borrador con IA, siempre sobre datos reales.
06 · Ingeniería de detecciónSigmaHQ · regla real
Reglas SIGMA y YARA de la comunidad
Reglas reales de SigmaHQ y Yara-Rules con autoría y fuente citadas, y los catálogos de Elastic, Splunk y Chainsaw, listas para copiar.
07 · CISA KEVRegistros reales
Vulnerabilidades explotadas
El KEV completo, priorizado por EPSS y uso en ransomware, con fecha límite de remediación y enlace a NVD.
08 · Matriz ACHVista ilustrativa
Hipótesis competidoras (Heuer)
Las hipótesis se descartan por inconsistencias, no se confirman por intuición. También se generan a partir de actores reales de ATT&CK.
09 · Playbooks SOARSimulación
Playbooks SOAR
Cinco playbooks mapeados a ATT&CK con analizadores y respondedores reales del catálogo Cortex. Es una simulación: no toca tu red.
En vivo
Lo que ya se publica, vigilado.
Víctimas en sitios de filtración, nuevos C2, vulnerabilidades añadidas al KEV y canales públicos de la dark web en una misma vista, con la fuente original de cada registro.
ÁmbitoGrupos y fuentes reales · víctimas e indicadores de ejemplo
Fuentesransomware.live · RansomLook · HookPhish · RedPacket · ransomwatch · abuse.ch · OpenPhish · CISA KEV · Telegram público · DDoSia
04Integraciones
Tus claves, tus herramientas.
Cada usuario conecta sus propios servicios. Las credenciales se cifran y solo existen en su espacio; en la nube, solo pueden apuntar a destinos públicos.
Inteligencia
11 servicios- VirusTotal
- AbuseIPDB
- AlienVault OTX
- Shodan
- Censys
- Onyphe
- VulnCheck
- Cloudflare Radar
- BreachDirectory
- NumVerify
- Twilio Lookup
IA · chat e informes
7 proveedores- OpenAI
- Anthropic
- Google Gemini
- Mistral AI
- DeepSeek
- xAI
- Groq
Cortafuegos
8 fabricantes- Fortinet FortiGate
- Palo Alto PAN-OS
- Check Point
- WatchGuard
- Sophos Central
- Stormshield SNS
- pfSense
- OPNsense
SIEM
9 fabricantes- IBM QRadar
- Splunk
- Microsoft Sentinel
- Rapid7 InsightIDR
- Devo
- FortiSIEM
- Huawei SecMaster
- Elastic Security
- Wazuh
Prueba de conexión
Solo lecturaTras guardar, ORCA prueba la conexión en solo lectura, sin cambiar nada. En la nube, un destino privado se rechaza al guardar y en cada petición (anti-SSRF). Ejemplo ilustrativo.
Exportación e interoperabilidad
Formatos abiertos- STIX 2.1Bundle consolidado
- TAXII 2.1Cliente del servidor de MITRE
- .txtUn indicador por línea, para alias o listas
- CSVIoCs con TLP y pirámide
- NavigatorCapa JSON de ATT&CK
- SIGMA · YARAReglas originales, para copiar
- PDFInforme imprimible
05Espacios y seguridad
Tu espacio es solo tuyo.
Claves, conexiones, IoCs propios, casos y actividad viven en el espacio de cada usuario. El administrador gestiona cuentas, pero no tiene ninguna ruta hacia los espacios ajenos.
Aislamiento por usuarioEsquema ilustrativo
- MFATOTP obligatorio para todosRFC 6238, con cualquier app de autenticación. También para administradores.
- AltasSolo por invitaciónSin registro público. Contraseña temporal que se cambia en el primer acceso.
- RolesAdministrador, analista y lectorY TLP aplicado en el servidor: RED y AMBER+STRICT no llegan al lector.
- CifradoCredenciales con FernetLa clave maestra es un secreto del Worker y nunca viaja con los datos.
- SesionesOpacas y con doble caducidadSolo se guarda el hash SHA-256 del token; expiran por inactividad y por tiempo total.
- BordeLímite de intentos por IPEn los endpoints de autenticación, antes de llegar a la aplicación, más bloqueo por intentos fallidos.
- SSRFSolo destinos públicosComprobado al guardar una integración y en cada petición.
- RegistroActividad de solo añadirSin rutas de edición ni borrado: cadena de custodia.
- R2Instantáneas continuasCada ~20 s si hubo cambios, más una copia por hora durante 30 días.
Apariencia
Cristal esmerilado, a tu gusto
La aplicación usa este mismo efecto. Claro, oscuro o automático; cinco fondos, desenfoque de 0 a 40 px y opacidad de los paneles ajustable. Se guarda en tu espacio y te sigue en cualquier dispositivo. Pruébalo aquí:
Fondo
Modo de la vista previa
La consola real
Capturas de la aplicación
Acceso
Tu consola te espera.
ORCA CTI es un proyecto sin ánimo de lucro y el acceso es solo por invitación.
Proyecto vibecoding Hecho con IA: el código, las pruebas y esta web los han escrito asistentes de IA a partir de indicaciones en lenguaje natural, con la dirección y la revisión de su autor.
- 01InvitaciónUn administrador crea tu cuenta con un rol y una contraseña temporal.
- 02Primer accesoCambias la contraseña y activas el MFA con tu app de autenticación.
- 03Tu espacioConecta tus claves y empieza a trabajar.