https://blog.efespain.com/tags/c2/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainTue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-22/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-22/Un bot de la escuela Mirai lleva dentro la dirección de quien le da las órdenes. Busqué la de este por cuatro caminos distintos y no la encontré por ninguno — y de paso publiqué una teoría propia que resultó ser falsa. Lo que acabó funcionando no fue una herramienta mejor: fue darme cuenta de que en algún sitio había otro binario, compilado del mismo código, cuyo centro de mando alguien ya había publicado. Con los dos delante, la diferencia entre ellos son mil ciento treinta bytes.https://blog.efespain.com/capitulo-2/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-2/En el Capítulo 1 el C2 se quedó cifrado dentro del binario. Aquí lo abro con Ghidra y sale entero — pero de paso aparece todo lo demás que este bicho lleva dentro: cómo se disfraza de proceso del sistema, cómo mata a la competencia usando el mismo rastro que lo delata a él, y cómo miente sobre su propia dirección cuando su central se lo ordena.https://blog.efespain.com/capitulo-4/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-4/El bot del capítulo anterior guardaba su config cifrada y sus órdenes en clave. Con Ghidra sale todo: el descifrado (un XOR ridículo), el nombre real de la botnet, el protocolo de su C2 y su arsenal completo — sin repartir armas.