Estas campañas marcan un claro cambio en cómo los actores de amenazas están explotando la misma infraestructura de red de la que las organizaciones dependen diariamente.

El 6 de marzo de 2026, investigadores de seguridad capturaron nuevas muestras de dos cepas de malware nunca antes documentadas.

La primera, llamada CondiBot, es una botnet DDoS construida sobre el conocido framework Mirai, diseñada para infectar dispositivos Linux basados en red y transformarlos en nodos controlados remotamente capaces de inundar sistemas objetivo con tráfico abrumador.

La segunda cepa, llamada “Monaco”, es un escáner SSH sofisticado y minero de criptomonedas escrito en Go 1.24.0 que irrumpe en servidores, routers y dispositivos IoT mediante ataques de fuerza bruta a credenciales SSH débiles, para luego desplegar silenciosamente software de minería de criptomoneda Monero.

Ninguna de las dos cepas había sido previamente detectada en plataformas importantes de inteligencia de amenazas, incluyendo VirusTotal, ThreatFox y Hybrid Analysis.

Investigadores de Eclypsium identificaron ambas cepas de malware y señalaron que el ataque a infraestructuras de red ya no está limitado a grupos de amenazas persistentes avanzadas respaldados por estados-nación.

Estos hallazgos confirman un patrón creciente en el que actores motivados financieramente, incluidas operaciones de minería de criptomonedas, están explotando activamente las mismas vulnerabilidades que los hackers patrocinados por estados han favorecido durante mucho tiempo.

El panorama de amenazas más amplio respalda esta preocupación. Según el Informe de Investigaciones de Brechas de Datos 2025 de Verizon, hubo un aumento de 8 veces en los exploits de vulnerabilidades dirigidos a dispositivos de red, con un tiempo medio de explotación de cero días, mientras que el tiempo medio para aplicar parches se extendió a 30 días.

El Grupo de Inteligencia de Amenazas de Google encontró además que casi un cuarto de todas las vulnerabilidades de día cero explotadas en 2025 apuntaban específicamente a sistemas de red y seguridad, confirmando que esta superficie de ataque se está convirtiendo en un campo de batalla principal.

Lo que hace que estas campañas sean especialmente peligrosas es una brecha fundamental de visibilidad en la mayoría de los entornos empresariales. La mayoría de las herramientas de detección y respuesta en endpoints son completamente ciegas a las capas de firmware integrado de los dispositivos de red.

Dado que estos dispositivos no pueden ejecutar agentes de seguridad tradicionales, los atacantes pueden operar sin ser detectados durante meses, recolectando silenciosamente poder de cómputo o sentando las bases para ataques mucho más grandes contra objetivos posteriores.

Mecanismo de infección y tácticas de persistencia de CondiBot

El proceso de ataque de CondiBot comienza en el momento en que aterriza en un dispositivo Linux vulnerable. Utiliza un método de entrega de payload que cicla a través de múltiples utilidades de transferencia de archivos —incluyendo wget, curl, tftp y ftpget— para asegurar que el binario malicioso llegue al objetivo sin importar qué herramientas estén disponibles en el dispositivo.

Una vez que el binario se ejecuta, desactiva inmediatamente las utilidades de reinicio del sistema estableciendo sus permisos de archivo en 000, evitando que un simple reinicio elimine la infección. Luego se conecta a un servidor de comando y control (C2) y se registra usando un identificador de bot único.

Tras el registro, CondiBot entra en un bucle de espera, escuchando comandos de ataque del C2. Cuando llega una orden, despliega uno de sus 32 manejadores de ataque registrados contra el objetivo especificado.

Esto marca una expansión notable respecto a variantes anteriores de Condi documentadas por Fortinet en 2023, que registraban muchos menos módulos de ataque.

Los analistas extrajeron una cadena etiquetada como “QTXBOT” del binario —un identificador interno no visto en ninguna documentación previa de Condi—, lo que sugiere que podría tratarse de una variante bifurcada o una compilación mantenida por separado por un grupo de desarrolladores diferente.

El malware también elimina activamente botnets competidoras que se ejecutan en el mismo dispositivo infectado, incluyendo un proceso llamado /bin/sora, asegurando el control total sobre los recursos del sistema comprometido.

Manipula el watchdog de hardware para mantener el dispositivo en funcionamiento sin interrupciones, haciendo que la infección sea muy difícil de eliminar sin intervención física directa.

Las organizaciones deberían imponer credenciales SSH fuertes y únicas y desactivar las contraseñas predeterminadas en todos los dispositivos expuestos a Internet.

Se debe aplicar monitoreo de integridad del firmware en routers, firewalls y equipos IoT. Los parches deben aplicarse lo más rápido posible, dado que los plazos de explotación pueden ser tan cortos como cero días.

También se recomienda encarecidamente monitorear tráfico saliente inusual y procesos inesperados en los dispositivos de red.