shem · Bitácora de un honeypot perdido

Proxy residencial IoT + DDoS (alias «Shemzbot») primera vez vista 2026 2 capítulos

shem es el nombre que le puso su autor, y lo deja escrito por todas partes: en las rutas de su disco, en cómo se presenta al hablar con el mundo y en los primeros bytes de cada mensaje a su central. Yo lo había bautizado «zbot» por sus ficheros de cron; XLab lo llamó Shemzbot en un tuit, juntando los dos.

Entró por telnet con la contraseña de fábrica de siempre, pero no viene a tumbar servidores: lo que busca es tu conexión. Convierte el aparato en una salida a internet de alquiler, se reparte desde las propias víctimas y cambia su huella en cada descarga para que no se le pueda fichar. Su centro de mando vivía en un hosting a prueba de balas que se cambia de nombre para no dejarse coger.

01 Alguien me trajo su malware a casa Tengo un honeypot en algún rincón de la red. La mayoría es ruido: escáneres que miran y se van. Hasta que uno entró, se creyó administrador, y me subió su bicho por la puerta de servicio. XorDDoS2026-08
02 Abriendo XorDDoS con Ghidra En el Capítulo 1 el C2 se quedó cifrado dentro del binario. Aquí lo abro con Ghidra y sale entero - pero de paso aparece todo lo demás que este bicho lleva dentro: cómo se disfraza de proceso del sistema, cómo mata a la competencia usando el mismo rastro que lo delata a él, y cómo miente sobre su propia dirección cuando su central se lo ordena. XorDDoS2026-08
03 La botnet que se dejó el código a la vista Otro entra y suelta su bicho. Pero este se dejó una puerta abierta en su propio servidor de reparto - y dentro estaba el código fuente. Un Mirai multiarquitectura, cazado con las manos en la masa. Mirai2026-08
04 Mirai al descubierto: 16 métodos y un XOR de un byte El bot del capítulo anterior guardaba su config cifrada y sus órdenes en clave. Con Ghidra sale todo: el descifrado (un XOR ridículo), el nombre real de la botnet, el protocolo de su C2 y su arsenal completo - sin repartir armas. Mirai2026-08
05 El intruso que trajo su propia llave El bicho anterior entraba a patadas con wget. Este entró con una llave SSH en el bolsillo, limpió la casa de mineros rivales y se instaló con modales de profesional. Es RedTail, y juega en otra liga. RedTail2026-08
06 El minero que esconde su cartera Desempaquetamos el minero de RedTail y lo abrimos con Ghidra buscando el pool y la cartera. Lo que encontramos es más interesante que un número: el dato va dentro, embebido y cifrado - y nadie ha publicado cómo descifrarlo. RedTail2026-08
07 El que entró por el cable de depuración Los tres anteriores atacaban servidores. Este iba a por un teléfono: entró por ADB, borró a la competencia, instaló su app disfrazada de Google, y se escondió. Primer malware de Android en el cebo. Sysorbit2026-08
08 Sysorbit al desnudo: tres capas para esconder una dirección Abrimos el APK capa a capa: un DEX que solo es un lanzador, una app que se clava en /system si hay root, y un motor de DDoS en código nativo. El C2 me dio con la puerta en las narices - hasta que volví por otro camino y salió entero. Sysorbit2026-08
09 El que quería que yo pagara sus llamadas Esta vez no cayó un binario. Cayó un fraude: durante dos horas, quince máquinas intentaron que mi centralita cursara 3.457 llamadas internacionales - la fase de prueba de un fraude de tarificación especial (IRSF), con la factura a mi nombre. Un capítulo sin Ghidra: solo protocolo, dinero y OSINT. VoIP2026-08
10 Un minero algo perdido Cayó otro APK por el cable de depuración, pero este pesa quince veces menos que el anterior y no lleva ni una línea de código nativo. Lo abrí esperando algo mediocre. Lo que encontré fue un fósil de 2018 que sigue infectando teléfonos para minar en una empresa que cerró hace siete años - y que hoy, sin saberlo, avisa a sus propias víctimas. Trinity2026-08
11 El bot presumido y vago Cayó un cargador de 1.177 bytes: nueve líneas de wget, una por arquitectura, del estilo que ya he abierto tres veces en este blog. Iba a archivarlo como reincidencia y seguir con lo mío. Lo abrí igualmente, por costumbre - y lo primero que vi fue que le sobraban unos caracteres. KHserver2026-08
12 Nikki, te quieren El binario llegó sin limpiar: su autor se dejó dentro los nombres de las seiscientas veintiocho funciones que escribió. Es como recibir un libro cerrado con el índice grapado en la portada. Aquí lo leo entero, función por función, hasta llegar a la única cadena que no encajaba con nada. KHserver2026-08
13 Tres cerraduras y la llave puesta En el capítulo 10 cacé el minero, pero no el bicho que lo reparte: aquello lo conté prestado, con el análisis de otros. El cebo, que es rencoroso, me lo trajo entero - blindado tres veces, con un blob que se resistió a todo lo que sé hacer. Hasta que dejé de intentar leerlo. Trinity2026-08
14 La fábrica de llamadas En el capítulo 9 alguien intentó que mi centralita pagara sus llamadas. Lo conté y cerré el incidente, con una pregunta colgando: ¿quién estaba al otro lado? Esta vez no me quedé mirando por la ventanilla. Le puse memoria al cebo, seguí el rastro del número y descubrí por qué eligen justo esos números. VoIP2026-08
15 Volví a por RedTail, y RedTail ya tenía dueño Monté una jaula, ejecuté el minero y le saqué de la memoria la configuración que en el capítulo 6 no supe descifrar. Me emocioné… y me llevé dos cosas que no buscaba: que esta familia ya estaba documentada de arriba abajo (en un sitio donde no se me ocurrió mirar) y que la pieza que creía haber descifrado servía para otra cosa. RedTail2026-08
16 El inquilino que llevaba once años Un bot entró en mi cebo, estuvo 62 segundos y se fue. Lo catalogué como Gafgyt y me equivoqué. Una semana después tiré del hilo de sus servidores de mando y acabé en una operación que lleva viva desde 2015, y que ya tenía en la mano desde el primer día. XorDDoS2026-08
17 Recién salido del horno Un domingo tranquilo, mi alarma de binarios nuevos saltó tras días muda. El primer pensamiento fue el mejor de todos: algo fresco. Lo que vino después fue una montaña rusa - un viejo conocido, un falso positivo que casi me la cuela, y por fin un bicho que no figuraba en ningún repositorio público, cazado a menos de treinta horas de nacer. Mirai2026-08
18 Nada que fichar Una IP que ya estaba infectada se conectó por telnet al cebo y pegó de golpe una receta: once binarios, uno por arquitectura, cada uno con un nombre inventado que no se repetirá nunca. Dos pesaban exactamente lo mismo y parecían variantes - resultaron ser las builds i586 e i686 del mismo programa. Y detrás no venía un bicho suelto: medio centenar de binarios distintos en dos semanas. La entrega entera está montada para que ninguna lista de bloqueo, ni por nombre ni por firma, atrape nada. Cling2026-09
19 ¿Un Mirai que no sabía atacar? Bajé los tres binarios del capítulo anterior esperando el arsenal de DDoS de siempre. No estaba: ni una función de ataque. Lo que hace en su lugar (y, sobre todo, el canal por el que le llegan las órdenes) es lo más raro que ha entrado por el cebo. Un bicho pensado, de arriba abajo, para que no se le vea. Cling2026-09
20 Doce coartadas y un buzón El capítulo anterior dejó una pregunta que el binario no responde: de los trece servidores STUN a los que Cling baliza, uno tiene que ser el buzón del operador (porque el bot solo le anuncia sus puertos a esos trece, a nadie más), pero los trece parecen proveedores de VoIP inocentes. No lo cacé emitiendo una orden; lo encontré por descarte y por exclusividad, mirando con registros públicos quién habla con cada uno. Doce tienen coartada. El decimotercero, no. Cling2026-09
21 Me lo presentó su enemigo Un escáner automático encontró el telnet del cebo y, dieciocho segundos después, ya había un binario dentro. La contraseña era «telnet». El cargador que soltó viene con dos erratas del operador, una de las cuales rompe una infección entera. Y cuando por fin le puse nombre a la familia (IranBot, un fork de Mirai con ficha pública) resultó que ese nombre ya estaba escrito en este blog desde agosto: lo había puesto un bot rival, en la lista de competidores que desinstala al llegar. IranBot2026-09
22 El gemelo que me faltaba Un bot de la escuela Mirai lleva dentro la dirección de quien le da las órdenes. Busqué la de este por cuatro caminos distintos y no la encontré por ninguno - y de paso publiqué una teoría propia que resultó ser falsa. Lo que acabó funcionando no fue una herramienta mejor: fue darme cuenta de que en algún sitio había otro binario, compilado del mismo código, cuyo centro de mando alguien ya había publicado. Con los dos delante, la diferencia entre ellos son mil ciento treinta bytes. IranBot2026-09
23 El comando que miente Dejé una contraseña puesta en un cebo y, un domingo, entraron por ella tres veces. Neutralicé lo que traían; lo que no vi hasta después fue lo que dejaron plantado - una línea en el .bashrc que hace que «top» mienta y esconda justo al proceso que se está comiendo la máquina. Un rootkit sin rootkit. Y al poner dos discos congelados uno al lado del otro apareció el detalle que lo cambia todo: la misma línea, con un número distinto. DIICOT2026-09
24 La línea que nadie escribió En el capítulo anterior quedó un número sin explicar: el backdoor borraba un proceso distinto en cada instalación, y eso no se puede saber de antemano. Abro el minero y aparece la respuesta - una plantilla con el hueco reservado. De paso sale la cartera a la que va el dinero, detrás de un cifrado que da risa. DIICOT2026-09
25 Veinte euros al día El destripe me dejó una cartera de Monero y una pregunta que el binario no contesta: cuánto lleva ganado esto. Monero está hecho para que no se pueda mirar un saldo - pero el pool contra el que minan publica estadísticas por cartera, y eso es una página abierta. Lo que salió al preguntar: una caja cobrando desde enero de 2021, otra que ya estaba encendida meses antes de aparecer en las muestras, unos veinte euros al día, y una factura de la luz que pagan las víctimas y que dobla lo que ingresa el operador. DIICOT2026-09
26 Sesenta y seis segundos La familia del capítulo anterior no se quedó quieta: hay una versión más nueva circulando, y la pillé desde el primer segundo. Entra por SSH a la fuerza, mide el equipo, desaloja a la competencia (incluida su propia versión vieja), sube dieciséis megas de un solo fichero y lanza. Todo en poco más de un minuto. Y entonces se estrella contra una línea del fstab. DIICOT2026-09
27 Solo el líder habla El kit se quedó quieto en el disco, así que lo encendí yo en una jaula sin salida. Dentro hay un bot que exige saber su propia dirección antes de nada, se une a una malla de hasta dos mil nodos, celebra una elección y se corona líder - y solo entonces abre un chat de Telegram. El operador no entra en ninguna máquina: manda un mensaje al jefe de la manada. Y cuando le quemas el chat, la botnet se cura sola. DIICOT2026-09
28 La cartera que nunca viaja Los dos capítulos anteriores dejaron el kit desmontado pieza a pieza, y una pregunta sin responder: a quién le paga. Fui a buscarlo. Y me encontré con un diseño que lo impide - la configuración de minado no viaja nunca dentro del bicho, se descarga después - y con un andamio que alguien ya había desmontado. Esto es la persecución, lo que sí planta cuando le dejas correr, y hasta dónde llega lo que puedo demostrar sobre quién hay detrás. DIICOT2026-09
29 Me dijo su nombre tres veces Cayó en el cebo otro ELF de IoT con pinta de Mirai del montón. Lo bauticé «zbot» por sus ficheros de cron, y resultó que ni se llamaba así: por tres caminos distintos (las rutas que dejó en el disco, los banners con que habla SSH y HTTP, y los primeros bytes de cada mensaje a su central) el bicho me fue diciendo su verdadero nombre. Detrás había algo más interesante que un bot de tumbar servidores: una máquina para alquilar la línea de casa de su víctima como proxy. Y un operador que, con todo montado, rompía sus propias direcciones de descarga. XLab ya la había bautizado «Shemzbot» en un tuit; esto es el destripe que aquel tuit no traía. shem2026-10
30 El casero del C2 En el capítulo anterior abrí a shem por dentro, pero me quedé con una espina: su centro de mando es una IP pelada, sin dominio, así que no podía seguir al operador. Tiré igualmente de esa IP. Y lo que aparece al otro lado no es el operador, sino su casero: un bloque de hosting a prueba de balas que se cambia de nombre y de matrícula para no dejarse coger, que alquila a media docena de botnets a la vez, y que tira el servidor a los diez días. shem2026-10
31 Una puerta, tres visitantes Cuarenta megas de binario que no se dejan abrir: el descompilador los mira y dice que no. Antes de forzar esa puerta, lo aburrido y necesario, quién los trajo hasta aquí. Legea2026-10
32 Cifró hasta un mensaje roto Tres bytes mentirosos dejan al descompilador fuera, y detrás hay un segundo muro: las cadenas del autor no están en el fichero. Para cuando conseguí hablar con él, llevaba un rato diciéndome que sí a siete órdenes que no existían. Legea2026-10