SSHStalker es un nuevo botnet para Linux recientemente descubierto que revive el control mediante Internet Relay Chat (IRC) mientras emplea automatización para comprometer servidores a través de SSH. Su éxito se basa principalmente en adivinar contraseñas débiles o reutilizadas, convirtiendo cada host en una plataforma de lanzamiento para más escaneos e instalaciones. En intrusiones detectadas en honeypots a principios de 2026, los atacantes desplegaron un malware escrito en Golang.

SSHStalker es una nueva botnet de Linux recién descubierta que revive el control mediante Internet Relay Chat (IRC) mientras utiliza automatización para comprometer servidores a través de SSH.

Su éxito se basa principalmente en adivinar contraseñas débiles o reutilizadas, para luego convertir cada host en una plataforma de lanzamiento para más escaneos e instalaciones.

En intrusiones detectadas en honeypots a principios de 2026, los atacantes desplegaron un binario en Golang llamado “nmap” que, en realidad, sondea el puerto 22 para encontrar nuevos objetivos.

Después, descargaron GCC, compilaban pequeños archivos en C y descomprimían archivos en capas como GS y bootbou.tgz para implementar bots IRC y herramientas auxiliares.

Los datos de preparación también hacían referencia a casi 7.000 resultados recientes de escaneos SSH de enero de 2026, incluyendo muchas IPs en rangos de hosting en la nube.

Investigadores de Flare identificaron este grupo como previamente no documentado tras analizar sus muestras, flujo e infraestructura frente a informes públicos y colecciones comunes de malware.

Describieron la operación como priorizando la escala, construida a partir de componentes ensamblados que privilegian el tiempo de actividad y el bajo costo sobre el sigilo, y la repetibilidad en distribuciones Linux.

Observaron una persistencia "dormida", con sistemas inscritos en canales de control incluso cuando no se veía actividad visible por parte del operador.

El "flujo de ataque de SSHStalker" rastrea el pipeline de construcción y ejecución, incluyendo múltiples variantes de bots IRC escritos en C y Perl, así como servidores y canales redundantes.

El mismo kit también compila limpiadores de registros que apuntan al historial de shell y a los registros utmp/wtmp/lastlog, y lleva exploits antiguos para Linux 2.6.x que aún pueden funcionar en máquinas olvidadas.

Persistencia que se recupera rápidamente

La persistencia es directa pero efectiva: SSHStalker registra su directorio de trabajo y añade una tarea cron que se ejecuta cada minuto para activar un watchdog de actualización.

Si los defensores eliminan el proceso principal, el script verifica un archivo PID y reinicia el ejecutable, a menudo restaurando el control en unos 60 segundos.

Esta rápida recuperación significa que los respondedores deben eliminar cada parte del kit, o el bot regresará antes de que finalice el trabajo de respuesta.

Mientras que los "Indicadores de Compromiso" muestran la solución práctica: elimina la entrada cron de un minuto, borra el directorio completo del kit (a menudo en /dev/shm) y busca servicios o scripts de inicio añadidos por el ayudante "distro".

Para evitar la reentrada, desactiva la autenticación por contraseña en SSH, impón el acceso basado en claves, limita los intentos de fuerza bruta y restringe la exposición de SSH a redes de confianza.

En los hosts, alerta sobre ejecuciones inesperadas de GCC o make desde directorios de usuario, /tmp o /dev/shm, y sobre nuevos binarios que se ejecutan minutos después de su compilación.

En el perímetro de la red, monitorea el registro de clientes IRC y las conexiones a canales, y usa filtrado de salida para que los servidores no mantengan sesiones TCP salientes de larga duración con infraestructuras IRC desconocidas.

Fuentes:
https://cybersecuritynews.com/legacy-irc-botnet-campaign-uses-automated-ssh/