XorDDoS · Capítulo 16
El inquilino que llevaba once años
Viene del capítulo 1 · Alguien me trajo su malware a casa
Un bot entró en mi cebo, estuvo 62 segundos y se fue. Lo catalogué como Gafgyt y me equivoqué. Una semana después tiré del hilo de sus servidores de mando y acabé en una operación que lleva viva desde 2015, y que ya tenía en la mano desde el primer día.
Una noche de agosto de 2026, de madrugada, alguien llamó a la puerta SSH de mi cebo, entró con root : ubnt —contraseña de fábrica de los Ubiquiti— y a los 62 segundos se había ido. Dejó un binario. Lo abrí, lo conté en dos capítulos y le puse una etiqueta: Gafgyt.
La etiqueta estaba mal. Pero eso no lo descubrí revisando mis notas: lo descubrí una semana después, dando toda la vuelta por el otro lado —una IP, un casero, un inquilino, ciento trece muestras ajenas— hasta volver al punto de partida y encontrarme con que el operador ya estaba en mi cebo desde el primer día, con el nombre equivocado encima.
Esto es esa vuelta. No es el análisis de un bicho: es el rastreo de la gente que lo maneja, hasta donde llegan los registros públicos.
01Una aguja entre cuatro millones
Conviene dimensionar aquellos 62 segundos. En su ventana de registro —ocho días— el cebo acumuló 3.874.029 eventos. Buscando la firma completa de esta campaña en todo ese ruido, aparecen dos eventos, una sesión, una IP, un día.
Y de los 52 hashes distintos que cayeron esa semana —mineros, botnets de todo pelaje, treinta y nueve que ni siquiera están catalogados en ningún sitio— exactamente uno era de este operador.
Aunque «distintos» es mucho decir: la mayoría son repetidos, muy insistentes ellos. Trece de los que conservo pesan exactamente 1608 bytes —el mismo script una y otra vez, con los nombres de descarga cambiados en cada entrega. Cambia una letra y ya es otro fichero para cualquier catálogo.
No fue una campaña aporreando la puerta. Fue un grano de arena que resultó ser el caso entero.
02El nombre equivocado (y no fui el único)
Aquel binario entró en mi catálogo como Gafgyt / Bashlite. Con él entraron su servidor de descarga, su persistencia (/etc/cron.hourly/gcc.sh, /var/run/gcc.pid), el truco de renombrar wget a good, y una clave XOR de dieciséis bytes que saqué con Ghidra: BB2FA36AAA9541F0.
Todo eso es firma de XorDDoS, no de Gafgyt. La clave es la suya, la de su nombre. El gcc.pid es su fichero de PID. El renombrado de herramientas, su marca de la casa. Y cuando por fin lo comprobé, tres motores independientes lo firmaban igual: las reglas de Elastic, las de ditekSHen y el motor de ReversingLabs —todo ello a la vista en su ficha pública en MalwareBazaar. visto
Lo que me consuela poco y me enseña mucho es que no fui el único. El mismo objeto está catalogado de cuatro maneras distintas:
mi catálogo .............. Gafgyt / Bashlite MalwareBazaar ............ DDoSAgent ThreatFox (su servidor) .. Mirai otra red de cebos ........ mdrfckr-ssh-backdoor -------------------------------------------- las reglas YARA del fichero XorDDoS ReversingLabs .............. Linux.Trojan.XorDDoS
Y un detalle que lo remata: quien reportó ese servidor como «Mirai» es la misma persona que subió la muestra a MalwareBazaar como «DDoSAgent», dos meses y medio antes que yo. Otro cebo pescó exactamente lo mismo y también le puso el nombre equivocado.
03Por el otro lado: una IP y un casero
La investigación no arrancó del binario. Arrancó preguntando algo mucho más aburrido: ¿de quién es esta caja?
La IP era 141.98.11.51. El dueño, un revendedor pequeño de Lituania (AS209605, UAB Host Baltic). Nada del otro mundo. Lo interesante vino al preguntar quién vive ahí:
aaa.xxxatat456.com ppp.xxxatat456.com ppp.gggatat456.com www1.gggatat456.com b12.gggatat456.com p5.dddgata789.com
Nombres de teclado. Y al mirar su edad en los registros públicos, la sorpresa: xxxatat456.com y gggatat456.com están registrados desde el 31 de marzo de 2015, con la renovación pagada hasta 2027 — el tercero, dddgata789.com, es posterior: de febrero de 2017. visto
Once años de dominios. Renovándose. Y todavía resolviendo.
04El binario habla: dieciséis rotaciones
Aquí está la técnica que abre el caso, y merece contarse porque es lo que separa razonar por indicios de leer el objeto.
Un indicador suelto de ThreatFox traía enlazada una muestra concreta. Tirando de ahí me bajé el corpus entero de esa familia: 113 muestras públicas.
Su configuración va cifrada con la misma clave del capítulo 2. Con un detalle que me costó un rato: cada cadena arranca en su propio desplazamiento, así que aplicar la clave alineada al principio del fichero solo descifra una parte. Probando las dieciséis rotaciones de la clave, sale casi todo.
# cada cadena empieza donde le da la gana: hay que probar los 16 desfases KEY = b"BB2FA36AAA9541F0" for rot in range(16): k = KEY[rot:] + KEY[:rot] dx = bytes(data[i] ^ k[i % 16] for i in range(len(data))) # buscar en dx: config.rar, dominio:puerto, http://
78 de las 113 muestras sueltan su configuración. Y lo primero que aparece cambia el caso entero.
En la misma caja de Lituania vivía otro dominio, sys-kernel-update.to, con nameservers islandeses y un certificado impecable. Todo su oficio era distinto al del clúster de 2015, así que lo tenía catalogado como otro operador, de otra familia. Dos muestras lo desmienten:
http://sys-kernel-update.to/config.rar telemetry-pipe.sh:1430|api-metadata-v6.is:1430|sys-kernel-update.to:1430
Está escrito, cifrado con la clave de XorDDoS, dentro de binarios que tres motores firman como XorDDoS. No era un vecino de otra familia. Y el puerto 1430 coincidía exactamente con lo que ThreatFox había publicado por su cuenta: dos fuentes que no se hablan, apuntando al mismo sitio. visto
05Un operador, no dos
Durante varios días sostuve que en aquella caja convivían dos inquilinos. Con el histórico de DNS pasivo en la mano, esa idea se cae.
Los dos juegos de dominios —el veterano de 2015 y el islandés estrenado en 2026— entran en la misma máquina el mismo día y se mudan juntos cuatro veces más:
- 22 feb141.98.10.38 —entran los dos, el mismo día.
- 22 mar141.98.10.24 —se mudan juntos.
- 24 mar141.98.10.115 —otra vez juntos, casi tres meses.
- 12 jun141.98.10.161 —juntos.
- 21 jun141.98.11.51 —juntos, hasta hoy.
Compartir una caja es casualidad de revendedor. Entrar el mismo día y mudarse cuatro veces sincronizados, no. visto
Lo que pasó en febrero de 2026 no fue que llegara un vecino: fue que el mismo operador estrenó un juego de dominios con oficio nuevo —registradores islandeses, TLS de verdad— y lo corrió sobre las mismas máquinas que el viejo. Dos generaciones de oficio de la misma mano, conviviendo.
06Febrero de 2026, al reloj
Hay un tercer juego de dominios —aass654, xxcc789 y tres más—, comprado en bloque el 22 de marzo de 2024. Parecía «la misma escuela». Es bastante más que eso: de las 40 IPs que llegó a usar, 35 las usó también el clúster veterano. El 87 %. Y no consecutivas: simultáneas —en una de esas máquinas los dos juegos convivieron ocho meses seguidos. visto
Con eso, lo que ocurrió aquel febrero se lee entero y sin huecos:
- 23 eneúltima muestra del juego de 2024.
- 16 feble suspenden los cinco dominios de golpe.
- 18 febprimera muestra con un juego nuevo.
- 19 febregistra dos dominios más, en Tonga y en Islandia, con cinco horas de diferencia —y ese mismo día ya hay una muestra usándolos.
Le tumbaron cinco dominios y en menos de 72 horas tenía reemplazo, huyendo de su registrador de siempre a Tonga, Islandia, Laos y Montenegro.
07Once años de mudanzas, y el origen
Con el histórico completo, la biografía sale sola. xxxatat456.com ha pasado por 110 direcciones distintas entre abril de 2015 y hoy:
2015 ......... Hong Kong, Tailandia, Corea 2016 - 2022 .. OVH, Francia — la casa base, siete años 2023 - 2024 .. PEG Tech, Estados Unidos 2025 ......... Vietnam, Hong Kong, Francia 2026 ......... Lituania
Y el principio de todo está en la primera línea. El DNS pasivo inverso de aquella máquina de Hong Kong de 2015 devuelve esto:
2015-04-20 ns3.hostasa.org 2015-04-28 www.xxxatat456.com 2015-05-10 www1.gggatat456.com 2015-05-18 gggatat456.com
hostasa.org es el servidor de mando del primer XorDDoS documentado, el que destapó MalwareMustDie en 2014. Y ahí está, compartiendo máquina con los primeros dominios de nuestro operador, en un intervalo de cuatro semanas. visto
No es el único indicio. Un mismo binario lleva hardcodeados, en posiciones contiguas, la dirección de configuración de hostasa y la lista de servidores de atat456 —y no solo en 2022: también en una muestra de enero de 2025.
Así que la frase se sostiene para las muestras de 2025 hasta ese agosto, y deja de sostenerse después: cualquier bot que siga arrastrando esa cadena hoy está hablando con alguien.
Con quién, no lo sé, y no voy a suponerlo. Lo que sí puedo decir es cómo se comporta esa dirección: es un host de Google Cloud que contesta nginx 200 en cientos de puertos. Ese perfil no es el de un servidor de reparto; se parece mucho más al de un sumidero de investigación, de esos que alguien monta para ver quién sigue llamando. deducido
Y en cualquiera de las dos lecturas —lo haya recuperado el operador o lo haya recogido un investigador— refuerza el argumento de linaje: que alguien pague por revivir un dominio muerto desde 2019 dice que ese nombre todavía vale algo.
Detalle con su punto de ironía: el casero de 2015 se llamaba ClearDDoS Technologies.
08La rama que no es mía
Aquí toca frenar, porque es el punto donde más fácil sería pasarse de listo. Junto a la estirpe que acabo de contar hay una segunda, que comparte cosas con ella y que no está atribuida.
Son cinco dominios —enoan2107.com, gzcfr5axf6.com, myserv012.com, checkokdomain.com y monstervp.com— que comparten desde 2019 el mismo par de servidores de nombres y que, sobre todo, recorren las mismas máquinas en las mismas fechas durante cinco años. Tres de ellos aterrizan juntos en 103.254.75.120, en Hong Kong, el 18 de marzo de 2024. Ahí siguen. visto
A favor de que sea la misma mano: comparten con los binarios de atat456 el mismo host de configuración, aa.hostasa.org, y comparten la columna de DNS de 2015. En contra, y pesa mucho: su rotación de caseros no toca la nuestra en ningún punto y entre las dos ramas no hay ni un solo solape de dirección. Justo al revés que con el clúster hermano, donde el solape era del 87 %.
Con eso encima de la mesa, lo único que se sostiene es misma operación, división distinta. deducido Y ahí me quedo. Es la pregunta que este caso deja abierta, y forzarla sería exactamente el error que llevo todo el expediente intentando no cometer.
09Los caseros, hasta arriba
El método es el mismo del principio y es aburrido a propósito: de la dirección al hosting, del hosting al dueño del espacio, y del dueño del espacio a quien se lo alquila a él. Hasta arriba del todo.
Donde vive el mando hoy ya lo hemos visto: Lituania, un revendedor pequeño. Lo que no había dicho es en qué compañía. De los 500 escaneos recientes que urlscan guarda de esa red, el 71 % son farmacias falsas —85 dominios distintos— y otro 5 % son suplantaciones de casinos. Nuestro operador es ahí un inquilino minoritario. visto
Donde vive la rama de Hong Kong son dos números de red distintos que en realidad son la misma casa: mismo administrador, mismo teléfono, mismos buzones, y uno dando tránsito al otro con China Telecom por encima. De sus cien escaneos más recientes, 87 llevan una marca suplantada en el propio nombre del dominio —WhatsApp, OKX, Bitpie, DeepSeek—. Su buzón administrativo apunta a un dominio que se les caducó y que hoy está aparcado en Países Bajos. El de abusos sí funciona, y es una cuenta gratuita de Outlook: para dos redes y unas nueve mil direcciones.
Y donde vive el loader, que es la máquina que de verdad infecta, hay cuatro pisos para una sola caja:
espacio ... AFRINIC sudafricano, dado de alta en 2021
titular ... Zappie Host — Trinity House, Victoria, Seychelles
anuncio ... AS49870 Alsycon B.V., Países Bajos
reventa ... HostMayo — 126 máquinas en el /24, casi todas solo con SSHEspacio africano, dueño en Seychelles, anuncio holandés, reventa a máquinas baratas. Y el escalón de abajo se retrata solo: Zappie Host alquila desde 4,50 dólares al mes en Nueva Zelanda, Sudáfrica y Chile —el nicho de las geografías raras—, regala sesiones de enrutamiento a quien las pida, cobra por PayPal y por bitcoin con el reclamo textual «bitcoin, Where privacy matters», y no publica política de abuso. No hace falta un proveedor a prueba de denuncias cuando existe esto por el precio de dos cafés.
Esa caja corre Apache sobre Ubuntu, su raíz devuelve un 403 y lo único que contesta es new.php. Y tiene una comprobación externa que la ata a mi cebo: urlscan la escaneó antes que yo y se llevó 114.144 bytes, exactamente el tamaño del binario que me cayó aquella madrugada de agosto. Ochenta y dos días sirviendo la misma carga desde el mismo sitio, verificado por alguien que no soy yo. visto
Y aquí aparece el contraste que mejor lo retrata, y sale de mi propio cebo. De los binarios que conservo de aquella semana, trece son los droppers de 1608 bytes que mencioné al principio. Lo único que cambia entre ellos son los nombres de descarga: 156 nombres distintos entre los trece, ninguno repetido, todos apuntando a una misma máquina holandesa. Esa campaña fabrica un guion nuevo y doce direcciones nuevas en cada entrega, para que ninguna lista de bloqueo por hash o por URL le sirva a nadie de nada. visto
Nuestro operador hace exactamente lo contrario. Una sola dirección, sin tocarla en ochenta y dos días. Los mismos dominios renovados desde 2015. La misma clave desde 2014.
No es que no sepa hacer lo otro —cuando en febrero le tumbaron cinco dominios de golpe, tardó tres días en tener el reemplazo corriendo—. Es que con estos no le hace falta. deducido
10Me equivoqué de década
Con los caseros de Hong Kong estuve a punto de colar en este texto un error de los que no se ven, porque el dato no es falso: es un dato verdadero puesto en el año que no era.
Yo tenía escrito que ese espacio pertenece a un mayorista de direcciones y que lo anuncia una empresa de Hong Kong que vende, entre otras cosas, protección contra DDoS. Y es cierto. Hoy. El problema es que el mando de esa rama vivió allí en 2022 y 2023, y yo estaba describiendo aquellos años con una foto de 2025. Los registros de internet, por defecto, solo enseñan el estado actual: quién es el dueño ahora. Preguntarles por el pasado es otra cosa.
Lo que sí responde a «¿quién anunciaba este rango en tal fecha?» es el histórico de BGP. Y responde con fechas:
23.235.171.197 mando 2022-2024 → AS136800 MOACK.Co.LTD (Corea) + AS40065 CNSERVERS 2021-06 → 2024-03 23.248.237.29 mando 2022 → AS136800 MOACK.Co.LTD 2021-06 → 2023-12 43.249.172.214 mando 2022 → AS136800 MOACK.Co.LTD 2021-06 → 2023-12
El casero de aquella época era MOACK, una empresa coreana, con un coanunciante estadounidense. No los de ahora. visto
Y al corregir el error apareció algo mejor que el error. La empresa que hoy anuncia ese espacio no empieza a hacerlo hasta el 18 de marzo de 2024, que es justo el mes en que la rama de Hong Kong abandona esos rangos y salta a otra casa. El operador se mudó, más o menos, cuando la casa cambió de dueño. No fuerzo la causa, pero la coincidencia de fechas está ahí.
Remate para mi orgullo: moack.net ya figuraba como contacto de uno de esos rangos en mis propias notas, escritas tres horas antes esa misma madrugada. Era el hilo conductor y lo tenía delante sin verlo.
La ironía que dejé caer al contar el origen, además, da otra vuelta. El casero de 2015 se llamaba ClearDDoS; el que hoy tiene el espacio de Hong Kong vende protección contra DDoS. No lo cuento como complicidad, sino como descripción del mercado: quien vende mitigación tiene exactamente la red que necesita quien vende ataques.
11A quién le pega esto
Durante toda la investigación faltaba la pregunta más obvia. Esto es una máquina de hacer daño: ¿a quién se lo hace?
La única lista disponible son las 171 direcciones que publicó Cisco Talos junto a su informe. Les resolví el nombre inverso a todas; respondieron 61. El resultado no admite mucha interpretación:
c-73-95-47-244.hsd1.co.comcast.net una casa en Colorado fl-69-69-2-11.dhcp.embarqhsd.net una casa en Florida p5b360a39.dip0.t-ipconnect.de una casa en Alemania 189-47-95-188.dsl.telesp.net.br un DSL en Brasil 2-77-15-250.kcell.kz un móvil en Kazajistán 233.226.205.221.adsl-pool.sx.cn un ADSL en China
El 47 % de las que responden son conexiones residenciales. No son centros de datos: son las conexiones de casa de gente corriente, en cinco continentes. visto
Y encaja con lo que de verdad es el mercado del DDoS de alquiler. Un booter no se contrata para tumbar una infraestructura: se contrata para echar a alguien de internet —un rival en una partida, una disputa, alguien a quien se quiere callar. deducido
Once años de infraestructura renovándose, y un rastro de caseros que cruza medio mundo, para dejar sin internet la casa de alguien en Colorado.
12El dinero, y el humano que no aparece
Esto no es un aficionado con un troyano. Es un producto que se vende: hay un panel de control, un generador y varias versiones, con reclamos comerciales traducidos del chino que son puro lenguaje de producto de consumo —«más de 10.000 conectados sin tirones». leído
El dónde está el negocio no lo cuenta ningún informe occidental, pero sí un informe oficial del CERT chino de 2019. Describe, sin nombrarlo, al mayor grupo de esta familia de aquel año: usaba «gran cantidad de dominios maliciosos con cadenas específicas», estaba ligado a «una organización pública descubierta en 2014», y servía a las industrias del servidor de juego pirata, el porno y las apuestas. Sus centros de mando estaban mayoritariamente en Francia —nuestra casa base— y en noviembre de 2018 un solo grupo manejaba más de 70.000 máquinas infectadas. visto, leído del PDF original
Ese es el mercado: no espionaje ni sabotaje, sino guerras entre negocios sumergidos que se echan DDoS unos a otros.
¿Y la persona? El creador del panel dejó dentro un contacto de mensajería y un alias. Talos, que es quien los encontró, no los publica —ni el dato, ni siquiera el hash del fichero donde están. Así que el muro no es «no distribuyen la muestra»: es que el artefacto no está identificado públicamente. No hay puerta que forzar.
Aunque en el mundo de habla china no es un desconocido. El centro estatal chino de notificación de seguridad de redes publica listas de bloqueo, y en julio de 2025 aparece en una un subdominio de este clúster, con la familia nombrada. visto Y hay analistas chinos que ya le pusieron nombre al grupo —lo llaman por la misma cadena que yo, ata— y le atribuyen, con solo dos dominios, dos de cada tres órdenes de ataque de toda la familia. Ese último dato no he podido verificarlo: el artículo está tras un muro anti-robots y solo he visto el resumen del buscador. leído, sin verificar
13El círculo se cierra
Con el corpus descifrado y la técnica en la mano, tocaba hacer lo que no había hecho: aplicársela al binario que pescó mi propio cebo, el que estaba catalogado como Gafgyt.
Que lo tuviera guardado no es casualidad, y tiene su gracia. Después de aquella visita monté un vigía en el laboratorio: un guion que se queda escuchando el directorio de descargas y copia cada muestra en el instante en que aparece, con la regla de no borrar nunca —porque Cowrie rota rápido y lo que no copias, se pierde—. En sus comentarios, para explicar la prisa, dejé escrito «el Gafgyt del capítulo 1 lo hizo en 62 segundos». La muestra que ahora desmentía aquella etiqueta estaba guardada por una herramienta que existe gracias a ella.
https://api-metadata-v6.is/config.rar telemetry-pipe.sh:1529|api-metadata-v6.is:1529|sys-kernel-update.to:1529
Es exactamente el juego de servidores que se estrenó en febrero de 2026. sys-kernel-update.to resuelve a 141.98.11.51 —la caja de Lituania, junto a los dominios de 2015. visto
Di toda la vuelta —una IP, un casero, un inquilino, una familia, 113 muestras ajenas, once años de mudanzas, informes de medio mundo— para volver al punto de partida y descubrir que ya estaba allí.
El cebo no fue el principio de un camino que llevaba a otro sitio. El cebo tenía al operador en la mano desde el primer día, con el nombre equivocado encima.
No era una foto de agosto: doce días después, todo sigue en su sitio.
Y el final, que no es el que quería pero es el que es: no es una botnet sin rostro. Es un rostro que vio un tercero, que yo no puedo leer y que probablemente ni siquiera sea el de mi operador, sino el de quien le vendió el software.
Y ya sería la risa que un tío desde su portátil lo identificara y una multinacional del sector no, pero no es el caso.
Continuará —el cebo sigue encendido, y el inquilino también. 🍯
Comentarios