Bitácora de un honeypot perdido

Bitácora de un honeypot perdidohttps://blog.efespain.com/Recent content on Bitácora de un honeypot perdidoHugoesSun, 23 Aug 2026 00:00:00 +0000Abriendo el C2 con Ghidrahttps://blog.efespain.com/posts/capitulo-2-ghidra-c2/Sun, 23 Aug 2026 00:00:00 +0000https://blog.efespain.com/posts/capitulo-2-ghidra-c2/En el Capítulo 1 el C2 se quedó cifrado dentro del binario. Prometí destriparlo. Toca ingeniería inversa: Ghidra, la rutina de descifrado, y la configuración al desnudo — sin tocar la parte de ataque.Alguien me trajo su malware a casahttps://blog.efespain.com/posts/capitulo-1-gafgyt/Sun, 23 Aug 2026 00:00:00 +0000https://blog.efespain.com/posts/capitulo-1-gafgyt/Tengo un honeypot en algún rincón de la red. La mayoría es ruido: escáneres que miran y se van. Hasta que uno entró, se creyó administrador, y me subió su bicho por la puerta de servicio.La botnet que se dejó el código a la vistahttps://blog.efespain.com/posts/capitulo-3-mirai-captura/Sun, 23 Aug 2026 00:00:00 +0000https://blog.efespain.com/posts/capitulo-3-mirai-captura/Otro entra y suelta su bicho. Pero este se dejó una puerta abierta en su propio servidor de reparto — y dentro estaba el código fuente. Un Mirai multiarquitectura, cazado con las manos en la masa.Mirai al descubierto: 13 vectores y un XOR de un bytehttps://blog.efespain.com/posts/capitulo-4-mirai-ghidra/Sun, 23 Aug 2026 00:00:00 +0000https://blog.efespain.com/posts/capitulo-4-mirai-ghidra/El bot del capítulo anterior guardaba su config cifrada y sus órdenes en clave. Con Ghidra sale todo: el descifrado (un XOR ridículo), el nombre real de la botnet, el protocolo de su C2 y su arsenal completo — sin repartir armas.