LecturaQué es CyberChef y cómo funciona una receta
Bienvenida
Bienvenido a CyberChef: la navaja suiza del analista. Esta píldora es para quien empieza en un SOC, en soporte o en respuesta a incidentes y se topa con cadenas ilegibles que alguien escribió así a propósito. No hace falta programar ni instalar nada: un navegador basta.
Al terminar podrá armar recetas, decodificar Base64, hexadecimal y URL, desofuscar un comando de PowerShell, extraer y neutralizar IOCs, calcular hashes y convertir timestamps. Son cuatro lecciones cortas, un laboratorio con un correo de phishing ficticio y un quiz de 4 preguntas: unos 50 minutos.
Qué es CyberChef y por qué importa
Un martes en un SOC: una alerta muestra un comando que parece ruido y termina en ==; otra trae un enlace lleno de %2F. Antes de decidir si es un incidente, hay que leer qué dicen.
CyberChef es una aplicación web gratuita y de código abierto del GCHQ, la agencia británica de inteligencia de señales, que la publicó en GitHub en 2016. Reúne cientos de operaciones (decodificar, convertir formatos, calcular hashes, extraer direcciones) que corren en su navegador, sin mandar el dato a ningún servidor.
Ficha de CyberChef
CyberChef aplica una cadena de transformaciones a un dato y muestra el resultado al instante. El nombre sigue la metáfora de cocina: las operaciones se combinan en una receta (recipe) y el botón que la ejecuta se llama Bake, "hornear". Está en gchq.github.io/CyberChef y se puede descargar (Download CyberChef) para usar sin conexión.
Sintaxis
Una receta se puede guardar como texto en el "formato Chef": cada operación con su nombre (espacios cambiados por guion bajo) y sus argumentos entre paréntesis, separadas por punto y coma.
Operacion_1('ARGUMENTO',OPCION)Operacion_2(OPCION)
From_Base64('A-Za-z0-9+/=',true,false)URL_Decode()Controles principales
| Control | Qué hace | Cuándo usarlo |
|---|---|---|
| Bake / Auto Bake | Ejecuta la receta; con Auto Bake marcado lo hace sola en cada cambio | Desmárquelo con inputs muy grandes |
| Icono de desactivar | Apaga un paso sin borrarlo | Comparar con y sin esa capa |
| Icono de pausa (breakpoint) | Detiene la receta en ese paso | Ver el resultado intermedio |
| Step | Avanza un paso cada vez desde la pausa | Pelar capas una por una |
| Save recipe / Load recipe | Copia o carga la receta en formato Chef o JSON | Reutilizar recetas del equipo |
Las cuatro zonas de la pantalla
A la izquierda, Operations, el catálogo con un buscador arriba. En el centro, Recipe, las operaciones que usted arrastra, aplicadas de arriba hacia abajo. A la derecha, Input arriba, donde pega el dato, y Output abajo, con el resultado.
Cada operación trabaja sobre la salida de la anterior. Un Base64 que trae adentro codificación URL pide From Base64 y después URL Decode, en ese orden.
Magic: cuando no sabe qué tiene enfrente
Magic prueba combinaciones de decodificación hasta una profundidad (Depth, 3 por defecto) y sugiere las que dan texto legible. Lo uso cuando no tengo idea; después armo la receta a mano, porque en el reporte hay que explicar cada capa.
Errores frecuentes
Output: SecWing��Texto legible a medias con símbolos raros: operaciones en orden equivocado o una capa que falta. Ponga una pausa en el primer paso y avance con Step.