IoT · Bitácora de un honeypot perdidohttps://blog.efespain.com/tags/iot/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainTue, 01 Sep 2026 12:00:00 +0000Me lo presentó su enemigohttps://blog.efespain.com/capitulo-21/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-21/Un escáner automático encontró el telnet del cebo y, dieciocho segundos después, ya había un binario dentro. La contraseña era «telnet». El cargador que soltó viene con dos erratas del operador, una de las cuales rompe una infección entera. Y cuando por fin le puse nombre a la familia —IranBot, un fork de Mirai con ficha pública— resultó que ese nombre ya estaba escrito en este blog desde agosto: lo había puesto un bot rival, en la lista de competidores que desinstala al llegar.¿Un Mirai que no sabía atacar?https://blog.efespain.com/capitulo-19/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-19/Bajé los tres binarios del capítulo anterior esperando el arsenal de DDoS de siempre. No estaba: ni una función de ataque. Lo que hace en su lugar —y, sobre todo, el canal por el que le llegan las órdenes— es lo más raro que ha entrado por el cebo. Un bicho pensado, de arriba abajo, para que no se le vea.Nada que ficharhttps://blog.efespain.com/capitulo-18/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-18/Una IP que ya estaba infectada se conectó por telnet al cebo y pegó de golpe una receta: once binarios, uno por arquitectura, cada uno con un nombre inventado que no se repetirá nunca. Dos pesaban exactamente lo mismo y parecían variantes — resultaron ser las builds i586 e i686 del mismo programa. Y detrás no venía un bicho suelto: medio centenar de binarios distintos en dos semanas. La entrega entera está montada para que ninguna lista de bloqueo, ni por nombre ni por firma, atrape nada.Recién salido del hornohttps://blog.efespain.com/capitulo-17/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-17/Un domingo tranquilo, mi alarma de binarios nuevos saltó tras días muda. El primer pensamiento fue el mejor de todos: algo fresco. Lo que vino después fue una montaña rusa — un viejo conocido, un falso positivo que casi me la cuela, y por fin un bicho que no figuraba en ningún repositorio público, cazado a menos de treinta horas de nacer.El bot presumido y vagohttps://blog.efespain.com/capitulo-11/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-11/Cayó un cargador de 1.177 bytes: nueve líneas de wget, una por arquitectura, del estilo que ya he abierto tres veces en este blog. Iba a archivarlo como reincidencia y seguir con lo mío. Lo abrí igualmente, por costumbre — y lo primero que vi fue que le sobraban unos caracteres.KHserverhttps://blog.efespain.com/khserver/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/khserver/

KHserver no tiene nombre en ningún repositorio: los antivirus lo archivan comogafgyt/tsunami y ahí se acaba su ficha. Lo bautizo por las dos marcas que su propio autor dejó compiladas dentro del binario,KHserverHACKER yKHcommSOCK, porque sobreviven aunque cambie el nombre de los ficheros que reparte.

Lo que la distingue deMirai oXorDDoS no es la técnica —el esqueleto es el de siempre— sinoel negocio. Su lista de órdenes incluyeFORTNITE,COD,R6,RUST yVSE, y dos comandos dedicados aOVH yNFOservers, los dos grandes alojadores de servidores de juego. Esto no se usa para lo que surja:se alquila por horas para que a alguien se le caiga la partida.

La botnet que se dejó el código a la vistahttps://blog.efespain.com/capitulo-3/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-3/Otro entra y suelta su bicho. Pero este se dejó una puerta abierta en su propio servidor de reparto — y dentro estaba el código fuente. Un Mirai multiarquitectura, cazado con las manos en la masa.