Un actor de amenazas vinculado a Irán ha tenido expuesta toda su infraestructura operativa tras dejar negligentemente un directorio abierto en su propio servidor de ensayo, lo que ha brindado a los investigadores una rara visión de una operación de botnet en activo. La filtración reveló una red de 15 nodos de retransmisión, un marco de despliegue masivo de SSH, herramientas de DDoS compiladas en máquinas víctimas y otros detalles críticos. 

Un actor de amenazas con vínculos con Irán ha visto expuesta toda su infraestructura operativa tras dejar descuidadamente un directorio abierto en su propio servidor de preparación, lo que ha brindado a los investigadores una mirada poco común a una operación activa de botnet.

La filtración reveló una red de retransmisión de 15 nodos, un marco de despliegue masivo de SSH, herramientas de DDoS compiladas en máquinas de víctimas y un cliente bot con una dirección de comando y control (C2) codificada que aún estaba en desarrollo activo.​

La exposición salió a la luz el 24 de febrero de 2026, cuando un servidor con la IP 185.221.239[.]162, alojado en infraestructura registrada a nombre de Dade Samane Fanava Company (PJS), un ISP iraní, fue detectado durante un escaneo rutinario.

El servidor contenía 449 archivos en 59 subdirectorios, incluyendo un archivo de configuración de túnel, scripts de despliegue basados en Python, binarios DDoS compilados, archivos fuente de denegación de servicio en lenguaje C y una lista de credenciales utilizada para atacar sistemas de víctimas mediante SSH.​

Los analistas de Hunt.io identificaron el servidor expuesto durante una revisión rutinaria de infraestructura alojada en Irán utilizando su función AttackCapture™, que indexa directorios abiertos en internet.

Al pivotar sobre un certificado TLS de Let’s Encrypt compartido vinculado al dominio comodín *.server21[.]org, los investigadores descubrieron 14 direcciones IP adicionales que compartían la misma huella digital: siete alojadas en Hetzner Online GmbH en Finlandia y siete registradas en ISP iraníes, incluyendo Dade Samane Fanava Company (PJS) y Sindad Network Technology PJSC. El dominio fue registrado en 2023, con DNS enrutado a través de ArvanCloud (arvancdn[.]ir), un proveedor iraní de CDN.​

La misma infraestructura cumplía un doble propósito. Un archivo de configuración llamado config-client.yaml describía un túnel de paquetes basado en KCP utilizando Paqet —una herramienta de código abierto diseñada para eludir el sistema de filtrado de internet nacional de Irán—, donde el servidor iraní reenviaba tráfico cifrado a un nodo de salida de Hetzner en Finlandia.

La presencia de 3x-ui, un panel de proxy basado en web con gestión de cuentas de usuario y cuotas de tráfico, apuntaba a un servicio de retransmisión VPN operado comercialmente que funcionaba junto a la infraestructura de ataque.​

Un archivo de historial de bash expuesto detallaba la sesión de trabajo del operador en tres fases distintas: despliegue de túneles, desarrollo de herramientas DDoS y construcción de la botnet.

Comentarios en línea escritos en farsi y caracteres en escritura árabe por errores de entrada del teclado confirmaron que el actor probablemente tiene base en Irán.

Los objetivos de DDoS en el historial incluían un servidor de FiveM GTA en 5.42.223[.]60 en el puerto 30120 y dos hosts con interfaces HTTP/HTTPS, junto con herramientas personalizadas en C —syn.c, flood.c y au.c— y MHDDOS clonado desde GitHub y compilado directamente en el servidor de preparación.​

Despliegue masivo mediante SSH

El núcleo del método de infección de esta botnet era un script en Python llamado ohhhh.py, que leía credenciales en formato host:puerto|usuario|contraseña y abría 500 sesiones SSH concurrentes contra máquinas de víctimas a la vez.

Una vez establecida una sesión, el archivo fuente del cliente bot cnc.c era descargado desde el servidor de preparación, compilado en la máquina víctima usando gcc -pthread y ejecutado en una sesión de screen desvinculada.

Esta táctica de compilación en el host era un movimiento claro para eludir la detección de binarios, ya que nunca se transfiere un ejecutable precompilado, lo que hace que los escaneos basados en hashes sean en gran medida inútiles contra este tipo de amenaza.

El binario compilado era renombrado como hex en los hosts infectados —un nombre genérico poco probable de activar alertas durante una revisión rutinaria del sistema.​

El cliente bot, autodenominado BOT CLIENT v1.0, registraba cada host recién infectado con un beacon que incluía la dirección IP de la víctima, el nombre del host y el ID del proceso como UnknownBOT ONLINE.

La lógica de reconexión integrada en el binario significa que las máquinas infectadas seguirán intentando contactar con el C2 incluso si el servidor de preparación se desconecta.

Un script secundario, yse.py, funcionaba como un interruptor de emergencia, permitiendo al operador eliminar todas las sesiones en ejecución de forma remota ejecutando pkill -9 screen en cada host infectado.​

Los defensores deberían bloquear todas las direcciones IP identificadas vinculadas a esta operación y monitorear los nombres de archivo específicos y los hashes SHA-256 asociados a ohhhh.py, yse.py y el binario cnc.

Endurecer el acceso SSH —mediante la imposición de autenticación basada en claves, deshabilitar el inicio de sesión como root y restringir sesiones concurrentes— contrarresta directamente el método basado en credenciales del que dependía este actor.

Los equipos también deberían marcar actividades inesperadas de compilación con gcc en servidores, ya que la construcción de binarios en el host es un indicador significativo de que las detecciones estándar a nivel de binario podrían no detectar este tipo de amenaza.

Fuentes:
https://cybersecuritynews.com/iran-linked-botnet-exposed-after-open-directory-leak/