https://blog.efespain.com/shem/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainThu, 01 Oct 2026 12:00:00 +0000https://blog.efespain.com/capitulo-30/Thu, 01 Oct 2026 12:00:00 +0000https://blog.efespain.com/capitulo-30/En el capítulo anterior abrí a shem por dentro, pero me quedé con una espina: su centro de mando es una IP pelada, sin dominio, así que no podía seguir al operador. Tiré igualmente de esa IP. Y lo que aparece al otro lado no es el operador, sino su casero: un bloque de hosting a prueba de balas que se cambia de nombre y de matrícula para no dejarse coger, que alquila a media docena de botnets a la vez, y que tira el servidor a los diez días.https://blog.efespain.com/capitulo-29/Thu, 01 Oct 2026 12:00:00 +0000https://blog.efespain.com/capitulo-29/Cayó en el cebo otro ELF de IoT con pinta de Mirai del montón. Lo bauticé «zbot» por sus ficheros de cron, y resultó que ni se llamaba así: por tres caminos distintos (las rutas que dejó en el disco, los banners con que habla SSH y HTTP, y los primeros bytes de cada mensaje a su central) el bicho me fue diciendo su verdadero nombre. Detrás había algo más interesante que un bot de tumbar servidores: una máquina para alquilar la línea de casa de su víctima como proxy. Y un operador que, con todo montado, rompía sus propias direcciones de descarga. XLab ya la había bautizado «Shemzbot» en un tuit; esto es el destripe que aquel tuit no traía.