Familia
IranBot
Un fork de Mirai que la industria detecta y no nombra. Su autor firma el binario con un chiste, y aun así lo archivan en el cajón de siempre.
IranBot es un fork de Mirai, y de los que tienen nombre propio: hay una ficha pública con sus marcadores, y son irrepetibles. El autor dejó dentro del binario un chiste —Not a mirai at all, «no es un Mirai en absoluto»— y una consigna política, y bautizó sus ficheros con el prefijo iran.
Eso último conviene decirlo entero, porque es lo primero que se malinterpreta: son cadenas que escribió él. Sirven para identificar la familia y para nada más. No dicen de dónde viene, ni quién lo paga, ni desde dónde se opera.
Y con ficha y todo, la industria no lo nombra: los motores que lo detectan lo archivan en el cajón de siempre. Por dentro cumple lo que promete el linaje —escáner de telnet con contraseñas de fábrica, autorreplicación, arsenal de ataque—, así que lo interesante no es lo que esconde. Es lo que no se molesta en esconder.
Aquí lo cazamos entrando por telnet al cebo, y después salimos a buscar a quién obedece.
- 21
Me lo presentó su enemigo
Un escáner automático encontró el telnet del cebo y, dieciocho segundos después, ya había un binario dentro. La contraseña era «telnet». El cargador que soltó viene con dos erratas del operador, una de las cuales rompe una infección entera. Y cuando por fin le puse nombre a la familia —IranBot, un fork de Mirai con ficha pública— resultó que ese nombre ya estaba escrito en este blog desde agosto: lo había puesto un bot rival, en la lista de competidores que desinstala al llegar.
IranBot
2026-09 - 22
El gemelo que me faltaba
Un bot de la escuela Mirai lleva dentro la dirección de quien le da las órdenes. Busqué la de este por cuatro caminos distintos y no la encontré por ninguno — y de paso publiqué una teoría propia que resultó ser falsa. Lo que acabó funcionando no fue una herramienta mejor: fue darme cuenta de que en algún sitio había otro binario, compilado del mismo código, cuyo centro de mando alguien ya había publicado. Con los dos delante, la diferencia entre ellos son mil ciento treinta bytes.
IranBot
2026-09