Familia
DIICOT
Cryptojacking por SSH documentado desde 2021. En el cebo cayeron dos generaciones seguidas, y entre una y otra cambió el programa entero.
DIICOT (también conocida como Mexals) es una operación de cryptojacking veterana, documentada desde 2021 por Bitdefender y después por Akamai, Cado, Darktrace y Wiz. El nombre es una ironía del propio autor: lo toma prestado de una agencia rumana contra el crimen organizado. Su rutina es de manual: entrar por SSH a fuerza bruta, echar a la competencia, instalar un minero de Monero y esconderlo.
En el cebo cayeron dos generaciones, y conviene no confundirlas.
La clásica (capítulos 23 a 25) es la que lleva años documentada. Esconde el minero con una línea en el .bashrc que hace mentir al comando top, y lleva la cartera dentro del binario, tapada con un cifrado de juguete. Por eso de ésta se puede seguir el dinero hasta el último cobro.
La de 2026 (capítulos 26 a 28) cambió de programa entero. El mando dejó de ser cliente-servidor y pasó a una malla entre iguales que elige líder, con las órdenes llegando por un chat de Telegram; los binarios van ofuscados y empaquetados; y la cartera ya no viaja dentro: se descarga al arrancar, de un servidor que muere cuando muere la campaña. La misma familia, con todas las puertas cerradas.
Y una tercera pieza (capítulos 33 y 34): un ejecutor remoto que ni mina ni se propaga solo. Se presenta ante su centro de mando con una palabra, Ciocolata, y a partir de ahí le da a bash lo que le manden; su repertorio es el de bash, o sea, todo. Lo primero que recibe cada máquina nueva no es un minero: es una cinta métrica, para medir núcleos, memoria, disco y velocidad de línea. La propagación no está en el binario, está en el teclado de quien lo maneja.
- 23
El comando que miente
Dejé una contraseña puesta en un cebo y, un domingo, entraron por ella tres veces. Neutralicé lo que traían; lo que no vi hasta después fue lo que dejaron plantado - una línea en el .bashrc que hace que «top» mienta y esconda justo al proceso que se está comiendo la máquina. Un rootkit sin rootkit. Y al poner dos discos congelados uno al lado del otro apareció el detalle que lo cambia todo: la misma línea, con un número distinto.
DIICOT
2026-09 - 24
La línea que nadie escribió
En el capítulo anterior quedó un número sin explicar: el backdoor borraba un proceso distinto en cada instalación, y eso no se puede saber de antemano. Abro el minero y aparece la respuesta - una plantilla con el hueco reservado. De paso sale la cartera a la que va el dinero, detrás de un cifrado que da risa.
DIICOT
2026-09 - 25
Veinte euros al día
El destripe me dejó una cartera de Monero y una pregunta que el binario no contesta: cuánto lleva ganado esto. Monero está hecho para que no se pueda mirar un saldo - pero el pool contra el que minan publica estadísticas por cartera, y eso es una página abierta. Lo que salió al preguntar: una caja cobrando desde enero de 2021, otra que ya estaba encendida meses antes de aparecer en las muestras, unos veinte euros al día, y una factura de la luz que pagan las víctimas y que dobla lo que ingresa el operador.
DIICOT
2026-09 - 26
Sesenta y seis segundos
La familia del capítulo anterior no se quedó quieta: hay una versión más nueva circulando, y la pillé desde el primer segundo. Entra por SSH a la fuerza, mide el equipo, desaloja a la competencia (incluida su propia versión vieja), sube dieciséis megas de un solo fichero y lanza. Todo en poco más de un minuto. Y entonces se estrella contra una línea del fstab.
DIICOT
2026-09 - 27
Solo el líder habla
El kit se quedó quieto en el disco, así que lo encendí yo en una jaula sin salida. Dentro hay un bot que exige saber su propia dirección antes de nada, se une a una malla de hasta dos mil nodos, celebra una elección y se corona líder - y solo entonces abre un chat de Telegram. El operador no entra en ninguna máquina: manda un mensaje al jefe de la manada. Y cuando le quemas el chat, la botnet se cura sola.
DIICOT
2026-09 - 28
La cartera que nunca viaja
Los dos capítulos anteriores dejaron el kit desmontado pieza a pieza, y una pregunta sin responder: a quién le paga. Fui a buscarlo. Y me encontré con un diseño que lo impide - la configuración de minado no viaja nunca dentro del bicho, se descarga después - y con un andamio que alguien ya había desmontado. Esto es la persecución, lo que sí planta cuando le dejas correr, y hasta dónde llega lo que puedo demostrar sobre quién hay detrás.
DIICOT
2026-09 - 33
DIICOT: Sabor Ciocolata
Casi tres megas que hacen una sola cosa: llamar a casa, decir dos palabras y esperar diez segundos a que alguien conteste. Si nadie lo hace, se va sin dejar rastro. Pero dentro, cifrada de otra forma, lleva una segunda dirección: un dominio que nadie ha registrado. Y el resto del programa cabe en una línea de shell.
DIICOT
2026-11 - 34
DIICOT: Una sílaba de diferencia
El ejecutor del capítulo anterior llama a una máquina que ya conocía y guarda de reserva un dominio que se parece demasiado a otro que sí existió. Tirando de esa sílaba de diferencia aparecen su hermano mayor, el C2 anterior y el hueco por el que entra en las víctimas. Al final, le pregunté al otro lado qué manda.
DIICOT
2026-11