https://blog.efespain.com/tags/cryptojacking/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainTue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-28/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-28/Los dos capítulos anteriores dejaron el kit desmontado pieza a pieza, y una pregunta sin responder: a quién le paga. Fui a buscarlo. Y me encontré con un diseño que lo impide — la configuración de minado no viaja nunca dentro del bicho, se descarga después — y con un andamio que alguien ya había desmontado. Esto es la persecución, lo que sí planta cuando le dejas correr, y hasta dónde llega lo que puedo demostrar sobre quién hay detrás.https://blog.efespain.com/capitulo-26/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-26/La familia del capítulo anterior no se quedó quieta: hay una versión más nueva circulando, y la pillé desde el primer segundo. Entra por SSH a la fuerza, mide el equipo, desaloja a la competencia —incluida su propia versión vieja—, sube dieciséis megas de un solo fichero y lanza. Todo en poco más de un minuto. Y entonces se estrella contra una línea del fstab.https://blog.efespain.com/capitulo-24/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-24/En el capítulo anterior quedó un número sin explicar: el backdoor borraba un proceso distinto en cada instalación, y eso no se puede saber de antemano. Abro el minero y aparece la respuesta — una plantilla con el hueco reservado. De paso sale la cartera a la que va el dinero, detrás de un cifrado que da risa.https://blog.efespain.com/capitulo-25/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-25/El destripe me dejó una cartera de Monero y una pregunta que el binario no contesta: cuánto lleva ganado esto. Monero está hecho para que no se pueda mirar un saldo — pero el pool contra el que minan publica estadísticas por cartera, y eso es una página abierta. Lo que salió al preguntar: una caja cobrando desde enero de 2021, otra que ya estaba encendida meses antes de aparecer en las muestras, unos veinte euros al día, y una factura de la luz que pagan las víctimas y que dobla lo que ingresa el operador.https://blog.efespain.com/capitulo-23/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-23/Dejé una contraseña puesta en un cebo y, un domingo, entraron por ella tres veces. Neutralicé lo que traían; lo que no vi hasta después fue lo que dejaron plantado — una línea en el .bashrc que hace que «top» mienta y esconda justo al proceso que se está comiendo la máquina. Un rootkit sin rootkit. Y al poner dos discos congelados uno al lado del otro apareció el detalle que lo cambia todo: la misma línea, con un número distinto.https://blog.efespain.com/capitulo-15/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-15/Monté una jaula, ejecuté el minero y le saqué de la memoria la configuración que en el capítulo 6 no supe descifrar. Me emocioné… y me llevé dos cosas que no buscaba: que esta familia ya estaba documentada de arriba abajo —en un sitio donde no se me ocurrió mirar— y que la pieza que creía haber descifrado servía para otra cosa.https://blog.efespain.com/capitulo-10/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-10/Cayó otro APK por el cable de depuración, pero este pesa quince veces menos que el anterior y no lleva ni una línea de código nativo. Lo abrí esperando algo mediocre. Lo que encontré fue un fósil de 2018 que sigue infectando teléfonos para minar en una empresa que cerró hace siete años — y que hoy, sin saberlo, avisa a sus propias víctimas.https://blog.efespain.com/capitulo-5/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-5/El bicho anterior entraba a patadas con wget. Este entró con una llave SSH en el bolsillo, limpió la casa de mineros rivales y se instaló con modales de profesional. Es RedTail, y juega en otra liga.https://blog.efespain.com/capitulo-6/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-6/Desempaquetamos el minero de RedTail y lo abrimos con Ghidra buscando el pool y la cartera. Lo que encontramos es más interesante que un número: el dato va dentro, embebido y cifrado — y nadie ha publicado cómo descifrarlo.