Mirai · Bitácora de un honeypot perdidohttps://blog.efespain.com/tags/mirai/Un honeypot en algún rincón de la red. Cada infección, una historia que merece ser contada.HugoeseFeSpaineFeSpain2026 eFeSpainTue, 01 Sep 2026 12:00:00 +0000El gemelo que me faltabahttps://blog.efespain.com/capitulo-22/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-22/Un bot de la escuela Mirai lleva dentro la dirección de quien le da las órdenes. Busqué la de este por cuatro caminos distintos y no la encontré por ninguno — y de paso publiqué una teoría propia que resultó ser falsa. Lo que acabó funcionando no fue una herramienta mejor: fue darme cuenta de que en algún sitio había otro binario, compilado del mismo código, cuyo centro de mando alguien ya había publicado. Con los dos delante, la diferencia entre ellos son mil ciento treinta bytes.Me lo presentó su enemigohttps://blog.efespain.com/capitulo-21/Tue, 01 Sep 2026 12:00:00 +0000https://blog.efespain.com/capitulo-21/Un escáner automático encontró el telnet del cebo y, dieciocho segundos después, ya había un binario dentro. La contraseña era «telnet». El cargador que soltó viene con dos erratas del operador, una de las cuales rompe una infección entera. Y cuando por fin le puse nombre a la familia —IranBot, un fork de Mirai con ficha pública— resultó que ese nombre ya estaba escrito en este blog desde agosto: lo había puesto un bot rival, en la lista de competidores que desinstala al llegar.Recién salido del hornohttps://blog.efespain.com/capitulo-17/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/capitulo-17/Un domingo tranquilo, mi alarma de binarios nuevos saltó tras días muda. El primer pensamiento fue el mejor de todos: algo fresco. Lo que vino después fue una montaña rusa — un viejo conocido, un falso positivo que casi me la cuela, y por fin un bicho que no figuraba en ningún repositorio público, cazado a menos de treinta horas de nacer.KHserverhttps://blog.efespain.com/khserver/Sat, 01 Aug 2026 12:00:00 +0000https://blog.efespain.com/khserver/

KHserver no tiene nombre en ningún repositorio: los antivirus lo archivan comogafgyt/tsunami y ahí se acaba su ficha. Lo bautizo por las dos marcas que su propio autor dejó compiladas dentro del binario,KHserverHACKER yKHcommSOCK, porque sobreviven aunque cambie el nombre de los ficheros que reparte.

Lo que la distingue deMirai oXorDDoS no es la técnica —el esqueleto es el de siempre— sinoel negocio. Su lista de órdenes incluyeFORTNITE,COD,R6,RUST yVSE, y dos comandos dedicados aOVH yNFOservers, los dos grandes alojadores de servidores de juego. Esto no se usa para lo que surja:se alquila por horas para que a alguien se le caiga la partida.