DDoS · Bitácora de un honeypot perdidohttps://blog.efespain.com/tags/ddos/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainSat, 01 Aug 2026 12:00:00 +0000Recién salido del hornohttps://blog.efespain.com/capitulo-17/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-17/Un domingo tranquilo, mi alarma de binarios nuevos saltó tras días muda. El primer pensamiento fue el mejor de todos: algo fresco. Lo que vino después fue una montaña rusa — un viejo conocido, un falso positivo que casi me la cuela, y por fin un bicho que no figuraba en ningún repositorio público, cazado a menos de treinta horas de nacer.El inquilino que llevaba once añoshttps://blog.efespain.com/capitulo-16/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-16/Un bot entró en mi cebo, estuvo 62 segundos y se fue. Lo catalogué como Gafgyt y me equivoqué. Una semana después tiré del hilo de sus servidores de mando y acabé en una operación que lleva viva desde 2015, y que ya tenía en la mano desde el primer día.El bot presumido y vagohttps://blog.efespain.com/capitulo-11/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-11/Cayó un cargador de 1.177 bytes: nueve líneas de wget, una por arquitectura, del estilo que ya he abierto tres veces en este blog. Iba a archivarlo como reincidencia y seguir con lo mío. Lo abrí igualmente, por costumbre — y lo primero que vi fue que le sobraban unos caracteres.KHserverhttps://blog.efespain.com/khserver/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/khserver/

KHserver no tiene nombre en ningún repositorio: los antivirus lo archivan comogafgyt/tsunami y ahí se acaba su ficha. Lo bautizo por las dos marcas que su propio autor dejó compiladas dentro del binario,KHserverHACKER yKHcommSOCK, porque sobreviven aunque cambie el nombre de los ficheros que reparte.

Lo que la distingue deMirai oXorDDoS no es la técnica —el esqueleto es el de siempre— sinoel negocio. Su lista de órdenes incluyeFORTNITE,COD,R6,RUST yVSE, y dos comandos dedicados aOVH yNFOservers, los dos grandes alojadores de servidores de juego. Esto no se usa para lo que surja:se alquila por horas para que a alguien se le caiga la partida.

Nikki, te quierenhttps://blog.efespain.com/capitulo-12/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-12/El binario llegó sin limpiar: su autor se dejó dentro los nombres de las seiscientas veintiocho funciones que escribió. Es como recibir un libro cerrado con el índice grapado en la portada. Aquí lo leo entero, función por función, hasta llegar a la única cadena que no encajaba con nada.Alguien me trajo su malware a casahttps://blog.efespain.com/capitulo-1/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-1/Tengo un honeypot en algún rincón de la red. La mayoría es ruido: escáneres que miran y se van. Hasta que uno entró, se creyó administrador, y me subió su bicho por la puerta de servicio.El que entró por el cable de depuraciónhttps://blog.efespain.com/capitulo-7/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-7/Los tres anteriores atacaban servidores. Este iba a por un teléfono: entró por ADB, borró a la competencia, instaló su app disfrazada de Google, y se escondió. Primer malware de Android en el cebo.La botnet que se dejó el código a la vistahttps://blog.efespain.com/capitulo-3/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-3/Otro entra y suelta su bicho. Pero este se dejó una puerta abierta en su propio servidor de reparto — y dentro estaba el código fuente. Un Mirai multiarquitectura, cazado con las manos en la masa.