Familia
Cling
Un «Mirai» que no viene a tumbar nada: convierte routers ajenos en salidas a internet de alquiler y recibe las órdenes disfrazadas de videollamada.
Cling lo bauticé así porque el bicho firma su obra: cuando sale a buscar víctima se presenta con una cadena inventada, clingwashere, que no hace nada - está ahí para dejar marca. MalwareBazaar lo etiqueta Ngioweb, el motor de NSOCKS, un servicio de proxy residencial que Lumen desmanteló en 2024.
Los antivirus lo archivan como Mirai y no lo es. No viene a tumbar nada: viene a quedarse. Lo que quiere de la víctima no es su ancho de banda, es que su dirección IP parezca la de una casa normal. Y todo en él empuja a lo mismo: que no se le vea - sobre todo el canal por el que recibe las órdenes, que es lo más raro que ha entrado por el cebo.
Cronología
- 4 sep 2026 - se analiza el malware; regla de detección pública en abuse.ch.
- 5 sep 2026 - se envía el informe a INCIBE-CERT.
- 12 sep 2026 - sin respuesta en una semana, se publican los capítulos.
- 19 sep 2026 - IOCs en ThreatFox y aviso a Black Lotus Labs.
- 30 sep 2026 - China Telecom Security, «UFlowBot».
- 1 oct 2026 - Nozomi Networks, «Cling».
- 5 oct 2026 - FortiGuard, «ClingSTUN».
- 18
Nada que fichar
Una IP que ya estaba infectada se conectó por telnet al cebo y pegó de golpe una receta: once binarios, uno por arquitectura, cada uno con un nombre inventado que no se repetirá nunca. Dos pesaban exactamente lo mismo y parecían variantes - resultaron ser las builds i586 e i686 del mismo programa. Y detrás no venía un bicho suelto: medio centenar de binarios distintos en dos semanas. La entrega entera está montada para que ninguna lista de bloqueo, ni por nombre ni por firma, atrape nada.
Cling
2026-09 - 19
¿Un Mirai que no sabía atacar?
Bajé los tres binarios del capítulo anterior esperando el arsenal de DDoS de siempre. No estaba: ni una función de ataque. Lo que hace en su lugar (y, sobre todo, el canal por el que le llegan las órdenes) es lo más raro que ha entrado por el cebo. Un bicho pensado, de arriba abajo, para que no se le vea.
Cling
2026-09 - 20
Doce coartadas y un buzón
El capítulo anterior dejó una pregunta que el binario no responde: de los trece servidores STUN a los que Cling baliza, uno tiene que ser el buzón del operador (porque el bot solo le anuncia sus puertos a esos trece, a nadie más), pero los trece parecen proveedores de VoIP inocentes. No lo cacé emitiendo una orden; lo encontré por descarte y por exclusividad, mirando con registros públicos quién habla con cada uno. Doce tienen coartada. El decimotercero, no.
Cling
2026-09