Etiqueta
Análisis dinámico
todos los capítulos
- Capítulo 15 Volví a por RedTail, y RedTail ya tenía dueño Monté una jaula, ejecuté el minero y le saqué de la memoria la configuración que en el capítulo 6 no supe descifrar. Me emocioné… y me llevé dos cosas que no buscaba: que esta familia ya estaba documentada de arriba abajo (en un sitio donde no se me ocurrió mirar) y que la pieza que creía haber descifrado servía para otra cosa.
- Capítulo 27 Solo el líder habla El kit se quedó quieto en el disco, así que lo encendí yo en una jaula sin salida. Dentro hay un bot que exige saber su propia dirección antes de nada, se une a una malla de hasta dos mil nodos, celebra una elección y se corona líder - y solo entonces abre un chat de Telegram. El operador no entra en ninguna máquina: manda un mensaje al jefe de la manada. Y cuando le quemas el chat, la botnet se cura sola.
- Capítulo 29 Me dijo su nombre tres veces Cayó en el cebo otro ELF de IoT con pinta de Mirai del montón. Lo bauticé «zbot» por sus ficheros de cron, y resultó que ni se llamaba así: por tres caminos distintos (las rutas que dejó en el disco, los banners con que habla SSH y HTTP, y los primeros bytes de cada mensaje a su central) el bicho me fue diciendo su verdadero nombre. Detrás había algo más interesante que un bot de tumbar servidores: una máquina para alquilar la línea de casa de su víctima como proxy. Y un operador que, con todo montado, rompía sus propias direcciones de descarga. XLab ya la había bautizado «Shemzbot» en un tuit; esto es el destripe que aquel tuit no traía.
- Capítulo 32 Cifró hasta un mensaje roto Tres bytes mentirosos dejan al descompilador fuera, y detrás hay un segundo muro: las cadenas del autor no están en el fichero. Para cuando conseguí hablar con él, llevaba un rato diciéndome que sí a siete órdenes que no existían.
- Capítulo 33 DIICOT: Sabor Ciocolata Casi tres megas que hacen una sola cosa: llamar a casa, decir dos palabras y esperar diez segundos a que alguien conteste. Si nadie lo hace, se va sin dejar rastro. Pero dentro, cifrada de otra forma, lleva una segunda dirección: un dominio que nadie ha registrado. Y el resto del programa cabe en una línea de shell.