El casero del C2

El capítulo 29 terminó con una frustración honesta: shem habla con su central por una IP cruda, sin dominio por medio. Y una IP sin dominio es un callejón para quien quiere seguir al operador: cuando monte su próximo servidor, no hay un nombre que resuelva a la nueva dirección y te lleve hasta él. El rastro hacia delante se corta.

Pero el rastro hacia atrás, el de la caja que usó esta vez, sí se puede recorrer. Y la caja en cuestión estaba tan reportada que los registros públicos cuentan una historia completa: la de dónde se alojan estos bichos y cómo el hosting que los cobija está montado, pieza por pieza, para que no haya a quién reclamar.

En el 29 escribí que la red ya lo estaba contando, solo que sin saber a quién. Esto es ir a preguntarle a la red por el casero. Y acabó siendo la misma pregunta hecha cuatro veces, subiendo un piso cada vez: ¿a quién le reclamas esto? Aviso de lo que sale: cada piso contesta que al de arriba.

01La misma IP, dos matrículas

Empecé por lo aburrido: ¿de quién es 176.65.134.121? Y ahí ya saltó la primera rareza. Depende de a quién le preguntes.

RIPE, VirusTotal y AbuseIPDB coinciden: es de Pfcloud UG, en Alemania, bajo el sistema autónomo AS51396. Su DNS inverso lo confirma, 176.65.134.121.ptr.pfcloud.network. Pero Shodan, que la escaneó justo durante la campaña, la fichó bajo otro operador: AS215240, «Silent Connection Ltd». La misma dirección, dos dueños según el mapa que mires.

No es un error de un feed. Miré el /24 entero (176.65.134.0/24, registrado como «PFCLOUD-NET») y Shodan ve ahí 118 máquinas, 87 etiquetadas «Pfcloud» y 31 «Silent Connection», conviviendo en el mismo bloque. Entre ellas, lo esperable de un barrio así: OpenSSH a mansalva, nginx, y también VNC abierto y un par de proxys montados con Ncat. El bloque lo creó su titular el 1 de agosto de 2025 y lo mantiene una entidad llamada MNT-ZEXOTEK.

Tardé en caer en que no estaba viendo un registro mal puesto. La doble matrícula es el producto: dos sistemas autónomos turnándose las mismas direcciones significa que, según el feed que consulte quien venga a reclamar, el responsable es otro. No es desorden administrativo - es desorden administrativo de pago.

Primer piso, primera respuesta: depende de a quién preguntes. Que es una forma elegante de no contestar.

02Una sociedad que la cerraron y sigue abierta

¿Quién es «Silent Connection Ltd», el segundo nombre de la IP? Aquí entra lo que dicen terceros, y es la parte más fea. Spamhaus describió ese sistema autónomo como un «hotbed» de abuso (centros de mando de botnets, phishing, fuerza bruta, spam) y, el detalle que lo retrata, como el último eslabón de una cadena de ISP-señuelo: capas de empresas-tapadera puestas una delante de otra para que, cuando alguien reclame, no haya a quién.

Y más: según Spamhaus, Silent Connection fue disuelta por la fuerza (junto a otra llamada «Dolphin 1337»), y aun así su red siguió operando. Lo que encontré yo cuadra con eso: ese AS215240 hoy figura a nombre de otra sociedad, «Microdex UG», y ya ni siquiera anuncia rutas. Nombre nuevo, matrícula reciclada, el mismo garaje.

Segundo piso: la sociedad a la que reclamarías está disuelta. Y su red sigue encendida.

03Un centro comercial de botnets

shem no era el único inquilino, ni de lejos. Investigadores que vigilan este bloque semana a semana documentaron que, la misma semana de nuestra campaña, el hosting repartía a la vez varias familias de IoT: un phanes.<arch> que, apuntan, «reemplaza» a un morte.* de la semana anterior, un directorio /SBIDIOT/, y lo nuestro. Cada semana cambia el cartel de la tienda; el local es el mismo.

Y el barrio se cierra sobre sí mismo: la IP vecina de nuestro C2, 176.65.134.48, aparece en la correlación de infraestructura de esos mismos investigadores, junto a los nodos de escaneo del operador. No es casualidad de vecindario: es el mismo negocio ocupando direcciones contiguas. Para quien siga el blog, además, no es la primera vez que este rincón aparece: ya nos cruzamos con máquinas del mismo bloque en casos anteriores.

La conclusión incomoda un poco: shem no es «el» bicho de este servidor. Es uno más del catálogo. El operador de shem alquila; el casero cobra a shem, a phanes, a morte y a quien llame.

Tercer piso: el casero no es el de shem. Es el de todos, y por eso no le importa ninguno.

04Vida y muerte de un servidor de usar y tirar

Lo bonito de tener a tantos mirando es que se puede fechar el ciclo entero del servidor sin tocarlo. Esto es lo que dicen los relojes ajenos, en crudo:

18 sep        primeras URLs de reparto registradas en la IP (abuse.ch)
                → el servidor echa a andar
  22–24 sep     ventana de ataques del propio C2: más de cien intentos de login SSH
                salen de la dirección contra cebos de terceros (AbuseIPDB/Cowrie)
  18–27 sep     rango de las ~370 URLs de reparto vistas: sobre todo en el puerto 8080,
                con picos en puertos altos de la fórmula del bot
  30 sep        urlscan todavía recoge peticiones a su 8080 (miles de escaneos acumulados)
  fin de sep    el 8080 pasa a responder 404 vacío, Shodan deja de verlo cambiar,
                y todas las URLs de reparto constan ya como caídas
                → el servidor se vacía
  hasta 13 oct  lo siguen «reportando», pero re-enviando siempre la misma ventana del 22–24 sep
                → reputación residual, no actividad nueva

Resumen: unos diez días de vida, y a otra cosa. Para un negocio que trata los servidores como fungibles, diez días es lo normal. Lo que dura no es la caja: es el casero. Así que la pregunta se mueve otra vez: si el casero aguanta mientras las cajas van y vienen, ¿quién le mantiene el local conectado?

05¿Y quién conecta todo esto a internet?

Un hosting a prueba de balas no vive en el vacío: necesita que alguien le dé tránsito, le pase el tráfico al resto de la red. Esa es la pregunta aburrida que de verdad incomoda, porque el que da tránsito sí suele ser una empresa normal y localizable.

Miré los vecinos de ruta de Pfcloud, y hay uno que domina con diferencia: aurologic GmbH, otro operador alemán (AS30823). Es quien, en la práctica, pone a este bloque en el mapa de internet. Con su matiz de rigor, que lo digo antes de seguir: comprobé que aurologic es el principal proveedor del sistema autónomo, pero atar que lo es de este prefijo en concreto pide una vuelta más de BGP. Dicho eso, la dirección del hilo está clara y no es nueva: aurologic aparece una y otra vez como el conducto por el que respira el hosting problemático alemán.

Y aquí se acaba la cadena de sombras. Pfcloud se renombra, «Silent Connection» está disuelta, las cajas duran diez días - pero el que pasa el tráfico es una GmbH alemana con domicilio, teléfono y un buzón de abuso que alguien lee. Cuarto piso, y el único de toda la pila al que sí se le puede preguntar.

06Hasta aquí llega el hilo

Y aquí es donde el hilo se tensa y se corta, por donde ya sabíamos. He podido reconstruir quién aloja a shem, cómo se camufla ese hosting y cuánto duró este servidor. Lo que no puedo es dar el salto a la próxima caja del operador.

El motivo lo sabes desde la primera línea, y la prueba de lo tapiado que está el camino es que VirusTotal solo conoce de esta IP una resolución: su propio DNS inverso. Ni un dominio, ni DNS pasivo que seguir, ni un certificado que estrene, nada que un día apunte a otra dirección y te chive la mudanza. Cuando el operador levante el siguiente servidor (seguramente en este mismo barrio, o en el de al lado) lo hará con una IP nueva y en silencio, y habrá que volver a cazarlo desde el cebo, no seguirlo desde aquí.

No es un final redondo, pero es el honesto. El operador de shem es, por ahora, una sombra sin nombre. Su casero, en cambio, tiene nombre, matrícula (dos, de hecho) y hasta quien le da tránsito. A veces, cuando no puedes señalar al que entra a robar, puedes al menos señalar al que le alquila el piso franco y no hace preguntas.

07Indicadores (infraestructura)