Jesús Vallejo
Cyber Threat Intelligence Specialist
Mexico City, Mexico
Actions
Jesús Vallejo is a Cyber Threat Intelligence (CTI) specialist and malware analyst with experience in identifying, investigating, and contextualizing advanced threats across regional and global landscapes. His work focuses on transforming large volumes of technical data into actionable intelligence, enabling organizations to anticipate, detect, and respond effectively to cyber threats.
He has actively contributed to the discovery and analysis of malware and threat campaigns targeting LATAM, with a focus on banking trojans, infostealers, ransomware, and advanced persistent threats (APTs). His expertise includes static and dynamic malware analysis, as well as building intrusion hypotheses through the correlation of artifacts, infrastructure, and adversary behavior—uncovering patterns and links across seemingly unrelated campaigns.
He has strong experience analyzing TTPs and mapping them to frameworks such as MITRE ATT&CK, Cyber Kill Chain, and the Diamond Model, enabling accurate threat actor profiling and a deeper understanding of adversary motivations, capabilities, and operational evolution.
Jesús has also led initiatives to enhance CTI processes and tooling, driving the integration of intelligence platforms and optimizing workflows across security teams. His approach combines deep technical analysis with strategic insight, supporting informed decision-making in complex environments.
Beyond his operational work, Jesús is an active speaker in cybersecurity conferences and communities, where he presents research on threat actors, modern evasion techniques, and the evolving threat landscape. His talks are known for their practical, real-world focus and his ability to translate complex technical concepts into clear insights for both technical and executive audiences.
Area of Expertise
Topics
Cazando sentido: de un incidente al valor real
Escenario inicial: ¿Qué pasó aquí?
El equipo de Respuesta a Incidentes (RI) detecta una actividad sospechosa en uno de
los endpoints corporativos. A simple vista, parece un archivo adjunto recibido por
correo, y se recolecta la muestra ejecutable sospechosa.
Sin conocer aún el contexto, RI lo remite al equipo de Análisis de Malware (MA) para
entender el comportamiento.
Malware Analysis: El despiece técnico
El equipo de MA realiza un análisis estático y dinámico. Identifican que se trata de un
documento malicioso con macros, que descarga una carga útil codificada en Base64
y luego ejecuta una DLL. Se detectan conexiones hacia dominios poco conocidos,
uso de procesos living-off-the-land (como regsvr32.exe) y posible exfiltración de
información.
De este análisis se obtienen:
• Indicadores de compromiso (IoCs): hashes, dominios, IPs, user-agents, etc.
• Indicadores de ataque (IoAs): técnicas utilizadas, comportamiento del
malware, artefactos creados.
Estos datos son regresados al equipo de CTI para realizar una atribución inicial.
CTI: Contextualizar para entender y actuar
Con base en los IoCs y TTPs observados, el equipo de CTI comienza a investigar:
• Se comparan los comportamientos con reportes públicos en MITRE ATT&CK y
repositorios como Any.run, VirusTotal, Malpedia.
• Se identifica que las TTPs coinciden con campañas recientes de APT-C-36
(Blind Eagle) (por ejemplo), un grupo conocido por operar en LATAM y usar
correos con documentos señuelo.
• Nota: Para la charla, se usará un caso real y actual, con un malware activo al
momento de la presentación, con el objetivo de mostrar una investigación viva
y útil.
Se encuentran artefactos similares pivotando en VT y Any.run, lo que permite
extender la red de indicadores.
Con esta información:
• Se genera un perfil del actor con motivación, objetivos y alcance geográfico.
• Se crea un paquete de inteligencia técnica y táctica para los equipos
operativos.
SOC y Threat Hunting: Acción y contención
El equipo de CTI transfiere los IoCs al SOC, para que:
• Se bloqueen dominios e IPs en los firewalls y proxies.
• Se agreguen reglas en EDR para detección temprana de procesos anómalos.
Paralelamente, se comparten IoAs y TTPs al equipo de Threat Hunting, para que:
• Realicen búsquedas proactivas en logs históricos de endpoints.
• Detecten compromisos previos que no hayan generado alertas.
• Identifiquen infraestructura similar aún no bloqueada.
Cierre del ciclo: ¿Mucho trabajo para nada?
Gracias a esta colaboración fluida:
• Se atribuye el incidente a un actor específico
• Se bloquea infraestructura maliciosa antes de que otros usuarios caigan.
• Se encuentran posibles otros casos activos dentro de la organización.
• Se refuerzan controles preventivos gracias al conocimiento táctico y
estratégico adquirido.
Y lo más importante: el incidente inicial se transforma en inteligencia que fortalece el
sistema completo.
Conclusiones
Lo que en un inicio fue “una muestra sospechosa más”, se convirtió en una cadena de
acciones que blindó a la organización. CTI no trabaja aislado: su valor está en
conectar los puntos entre áreas técnicas, entregar contexto, y hacer que el
conocimiento se traduzca en acciones concretas.
Quizá parezca mucho trabajo... pero definitivamente no es para nada
The End of Manual CTI: Building an AI-Powered Intelligence Pipeline
Cyber Threat Intelligence (CTI) teams are drowning in data: threat feeds, dark web chatter, phishing campaigns, malware reports, and OSINT sources. Yet, turning this overwhelming volume into actionable intelligence remains a manual, time-consuming process.
At the same time, adversaries are already leveraging AI to scale phishing, automate reconnaissance, and accelerate credential theft operations—shifting the threat landscape faster than traditional CTI workflows can keep up.
This talk presents a practical, real-world approach to augment CTI operations using AI. Instead of focusing on theory, we will demonstrate how to build an AI-driven intelligence pipeline that ingests multiple sources (threat feeds, social media, OSINT), extracts IOCs, clusters related activity, and produces contextualized intelligence ready for analysts.
The session will also explore how attackers are using AI (including agent-like workflows) and how defenders can adapt without falling into the risks of over-automation, hallucinations, and false correlations.
To bridge theory and practice, we will conclude with a live Proof of Concept (PoC) showing how an automated CTI agent can:
Ingest raw intelligence feeds
Extract and normalize IOCs
Identify patterns across campaigns
Generate a daily intelligence summary with minimal human input
This talk is designed for CTI analysts, SOC teams, threat hunters, and security engineers looking to move from reactive intelligence consumption to proactive, AI-augmented intelligence production.
Desmantelando el Nido: El Caso APT-C-36 en LATAM
En esta sesion, recorreremos cada técnica de nuestro análisis para destapar las tácticas de un grupo de ciberdelincuentes latinoamericanos. Te presentaremos lo siguiente::
Capítulo 1: ¿Qué hace a un APT? (Y por qué Blind Eagle ha sido tan efectivo en LATAM).
Capítulo 2: De scripts simples a malware polimórfico: la evolución del ataque.
Capítulo 3: El engaño perfecto: phishing a través de documentos que parecen legítimos pero ejecutan malware, como DLLs maliciosas.
En el punto culminante, usaremos el marco MITRE ATT&CK para revelar cómo sus tácticas se alinean con grupos patrocinados por estados y trazaremos su infraestructura hasta servidores repartidos por todo el mundo. Pero el final no es optimista para el grupo: presentaremos un plan real para detectar, contener y eliminar sus ataques, basado en experiencias de empresas mexicanas y colombianas. El nido ha sido descubierto… ¿serás tú su siguiente objetivo...?
BSides Prishtina 2026 Sessionize Event Upcoming
Black Alpaca 2025 Sessionize Event
PumaHat Cybersecurity Week Edición 2025 Sessionize Event
Pwnterrey Sessionize Event
Please note that Sessionize is not responsible for the accuracy or validity of the data provided by speakers. If you suspect this profile to be fake or spam, please let us know.
Jump to top