https://blog.efespain.com/tags/ghidra/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainTue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-27/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-27/El kit se quedó quieto en el disco, así que lo encendí yo en una jaula sin salida. Dentro hay un bot que exige saber su propia dirección antes de nada, se une a una malla de hasta dos mil nodos, celebra una elección y se corona líder — y solo entonces abre un chat de Telegram. El operador no entra en ninguna máquina: manda un mensaje al jefe de la manada. Y cuando le quemas el chat, la botnet se cura sola.https://blog.efespain.com/capitulo-24/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-24/En el capítulo anterior quedó un número sin explicar: el backdoor borraba un proceso distinto en cada instalación, y eso no se puede saber de antemano. Abro el minero y aparece la respuesta — una plantilla con el hueco reservado. De paso sale la cartera a la que va el dinero, detrás de un cifrado que da risa.https://blog.efespain.com/capitulo-19/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-19/Bajé los tres binarios del capítulo anterior esperando el arsenal de DDoS de siempre. No estaba: ni una función de ataque. Lo que hace en su lugar —y, sobre todo, el canal por el que le llegan las órdenes— es lo más raro que ha entrado por el cebo. Un bicho pensado, de arriba abajo, para que no se le vea.https://blog.efespain.com/capitulo-12/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-12/El binario llegó sin limpiar: su autor se dejó dentro los nombres de las seiscientas veintiocho funciones que escribió. Es como recibir un libro cerrado con el índice grapado en la portada. Aquí lo leo entero, función por función, hasta llegar a la única cadena que no encajaba con nada.https://blog.efespain.com/capitulo-2/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-2/En el Capítulo 1 el C2 se quedó cifrado dentro del binario. Aquí lo abro con Ghidra y sale entero — pero de paso aparece todo lo demás que este bicho lleva dentro: cómo se disfraza de proceso del sistema, cómo mata a la competencia usando el mismo rastro que lo delata a él, y cómo miente sobre su propia dirección cuando su central se lo ordena.https://blog.efespain.com/capitulo-6/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-6/Desempaquetamos el minero de RedTail y lo abrimos con Ghidra buscando el pool y la cartera. Lo que encontramos es más interesante que un número: el dato va dentro, embebido y cifrado — y nadie ha publicado cómo descifrarlo.https://blog.efespain.com/capitulo-4/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-4/El bot del capítulo anterior guardaba su config cifrada y sus órdenes en clave. Con Ghidra sale todo: el descifrado (un XOR ridículo), el nombre real de la botnet, el protocolo de su C2 y su arsenal completo — sin repartir armas.https://blog.efespain.com/capitulo-8/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-8/Abrimos el APK capa a capa: un DEX que solo es un lanzador, una app que se clava en /system si hay root, y un motor de DDoS en código nativo. El C2 me dio con la puerta en las narices — hasta que volví por otro camino y salió entero.