Se ha descubierto NULLZEREPTOOL, un nuevo marco de ataque que utiliza un bot de Telegram como panel de control remoto para ejecutar campañas masivas de denegación de servicio distribuido (DDoS). Esta herramienta, cuyo código fuente en Python fue expuesto en Pastebin, permite lanzar 20 métodos diferentes de DDoS apoyándose en una infraestructura de proxies rotativos.

NULLZEREPTOOL es un marco de ataque recientemente descubierto que convierte un bot de Telegram en un panel de control remoto para potentes campañas de denegación de servicio distribuido (DDoS), respaldadas por una infraestructura de proxies rotativos.

El marco salió a la luz cuando una única publicación de Pastebin fue marcada durante el monitoreo continuo de sitios de "paste", exponiendo el código fuente completo en Python para un bot de ataques y DDoS gestionado por Telegram.

Lo que inicialmente parecía ser otro script de bajo nivel reveló rápidamente un diseño más complejo, combinando un motor de DDoS probado con módulos experimentales para la interrupción inalámbrica y el manejo de credenciales.

Ese descubrimiento permitió a los investigadores basarse en el banner integrado “NULLZEREPTOOL” y descubrir una variante anterior de la misma base de código, mostrando un linaje claro a través de credenciales codificadas compartidas y una lógica central idéntica.

A medida que profundizaban, los analistas de Flare notaron que la variante posterior se expande más allá del simple inundado de tráfico, sugiriendo desautenticación de WiFi, interferencia de Bluetooth y una asignación jerárquica de tareas de la botnet que aún no se han ejercitado plenamente en ataques del mundo real.

Los analistas de Flare dijeron en un informe que, en su esencia, NULLZEREPTOOL se comporta como un panel de DDoS controlado por Telegram más que como una botnet clásica de autopropagación.

El motor soporta veinte métodos de ataque diferentes, escala automáticamente los hilos de trabajo y rota los proxies para mantener la presión contra aplicaciones web robustas, similar en espíritu a las tácticas vistas en campañas recientes de DDoS coordinadas por Telegram.

Las ejecuciones de prueba contra sitios como shopmuabancf[.]com y páginas de Bloomberg produjeron estadísticas en vivo para el operador, rastreando el recuento de trabajadores y los volúmenes de solicitudes durante cada inundación.

Bajo el capó, la versión más reciente añade rutinas de ataque de WiFi y Bluetooth, rutas de extracción de contraseñas y una estructura “BOTNET_HIERARCHY” que define cómo los nodos esclavos podrían algún día recibir tareas y reportar resultados.

El análisis estático de Flare confirma que estas adiciones son solo del lado del servidor y dependen de componentes de cliente faltantes y herramientas externas, lo que sugiere que el operador todavía se encuentra en una fase de prueba de funciones en lugar de ejecutar una plataforma multifuncional madura.

Para los defensores, la historia más amplia es lo fácil que un bot de chat, listas de proxies públicas y endpoints simples de Flask pueden convertirse en una superficie de ataque ágil.

Ese cambio hacia una orquestación ligera impulsada por chats refleja las tendencias analizadas en las discusiones sobre la nueva generación de ataques de capa 7 y muestra por qué las organizaciones no pueden tratar a Telegram o canales similares como simples ayudantes administrativos inofensivos.

El nuevo NULLZEREPTOOL utiliza Telegram

El motor de DDoS se basa en un diccionario de MÉTODOS que mapea veinte nombres de ataque a funciones de trabajador dedicadas, cada una ejecutándose en su propio hilo y recorriendo rutinas de inundación específicas como HTTP GET, paquetes UDP o el patrón mixto “combo”.

El combo_worker es el más agresivo, agrupando cuatro solicitudes HTTP, un datagrama UDP y un saludo (handshake) TCP en una sola pasada, mientras calcula los retrasos por trabajador para alcanzar un objetivo configurado de solicitudes por segundo.

Para sostener esas inundaciones, NULLZEREPTOOL implementa un pipeline de proxies de múltiples etapas que recolecta proxies HTTP gratuitos de siete fuentes, incluyendo api.proxyscrape[.]com, proxylist.geonode[.]com, free‑proxy‑list[.]net y varias listas raw de GitHub.

Cada proxy es probado contra httpbin[.]org/ip con tiempos de espera estrictos, y solo los que responden rápido se escriben en proxy.txt y se mantienen en un grupo en memoria para ataques en vivo.

Durante un ataque, la función get_random_proxy() rota constantemente a través de ese grupo validado, volviendo a probar las entradas y eliminando las que fallan, para que el bot siga enviando tráfico a través de endpoints saludables en lugar de IPs obsoletas o bloqueadas.

El comando /proxy en Telegram activa un ciclo completo de actualización y validación, dándole al operador una forma sencilla de reconstruir su flota de proxies, lo cual imita cómo los atacantes intentan evadir los límites básicos de tasa de IP con conjuntos de proxies amplios y de cambio rápido.

NULLZEREPTOOL vincula este motor a Telegram mediante un BOT_TOKEN codificado y una verificación de ADMIN_ID que protege comandos como /attacks, /proxy, /key y /cvv detrás de una secuencia de /login.

Una vez iniciada la sesión, el administrador puede comenzar las inundaciones, ajustar el número de trabajadores y recibir actualizaciones de estado directamente en el chat, un patrón de control que se solapa con la forma en que algunos operadores convierten los bots secretos de Telegram en puntos de apoyo persistentes dentro de entornos objetivo.

Flare recomienda que los equipos de seguridad vigilen los métodos HTTP mixtos con encabezados aleatorios, ráfagas de alto volumen de UDP y TCP hacia los puertos 80 y 443, y tráfico de amplificación DNS o NTP que llegue a resolutores como 8.8.8.8, 1.1.1.1, time.google.com y pool.ntp.org.

Las organizaciones también deberían establecer una línea base del comportamiento normal de sus aplicaciones, desplegar protecciones fuertes contra DDoS y de capa 7, y estar preparadas para rastrear las inundaciones a través de las capas de proxy, en lugar de centrarse solo en direcciones IP individuales.

Marco de ataque multifuncional emergente

Más allá de las inundaciones, la variante más reciente de NULLZEREPTOOL introduce rutinas de ataque WiFi y Bluetooth que envuelven herramientas externas como aireplay‑ng, netsh wlan, nmcli, hcxdumptool, hcxpcapngtool y hashcat.

Estos módulos pueden desautenticar clientes, leer contraseñas de WiFi guardadas e intentar el craqueo basado en diccionario de handshakes capturados, aunque su éxito depende en gran medida del entorno anfitrión y del hardware disponible.

El marco también define una estructura BOTNET_HIERARCHY con endpoints de Flask como /slave_register, /slave_get_task y /slave_report, además de comandos de Telegram para crear tareas como wifi_scan, browser_steal y full_steal.

En la práctica, Flare no encontró ninguna lógica implementada de recolección de contraseñas de navegador, y la falta del binario del cliente significa que esta arquitectura existe hoy solo en teoría, no como una botnet distribuida probada.

Otra adición notable son las clases WiFi7QuantumExploit y Bluetooth6QuantumExploit de marca “Quantum”, que anuncian funciones de sonido avanzado pero dependen enteramente de primitivas criptográficas estándar como hashlib.sha3_512, hashlib.pbkdf2_hmac, os.urandom, secrets.token_hex y struct.pack.

Los investigadores concluyen que la etiqueta “quantum” es marketing y no tecnología real, un movimiento común en los ecosistemas de Malware como Servicio (MaaS) de bajo nivel donde el nombre intenta hacer que los métodos convencionales parezcan vanguardistas.

En cuanto al manejo de datos, NULLZEREPTOOL implementa un sistema manual de registro de CVV respaldado por una tabla cvv_logs en c2.db y un almacén de gestión de claves que utiliza claves secrets.token_hex de un solo uso para controlar el acceso.

Ese diseño estilo licencia señala una mentalidad comercial donde las claves de acceso podrían venderse o compartirse, y los datos de tarjetas almacenarse centralmente, planteando preocupaciones similares a las discutidas en las guías de seguridad de API sobre cómo el mal uso de credenciales puede alimentar campañas de fraude más amplias.

El informe de Flare subraya que la defensa más efectiva comienza temprano con el monitoreo continuo de sitios públicos de "paste", foros de la dark web y canales de Telegram, para que marcos como NULLZEREPTOOL sean descubiertos antes de que alcancen la madurez operativa.

Una vez que se identifican los tokens de bots codificados, los IDs de administrador, los endpoints de C2 y las fuentes de proxy, estos pueden introducirse en los sistemas de detección y bloqueo, ayudando a los defensores a mantenerse adelantados a las herramientas en evolución que mezclan DDoS, ataques inalámbricos y funciones de credenciales en un solo paquete.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
Dominio	shopmuabancf[.]com	Dominio objetivo utilizado en una sesión de prueba de DDoS de NULLZEREPTOOL.
Dominio	shopbloxfruits[.]com	Dominio objetivo con bajo rendimiento durante los ataques observados.
Dominio	trangchubloxfruit[.]com	Dominio objetivo configurado con alto RPS en las pruebas.
Dominio	Bloomberg[.]com/quote/FRGH:SW	Página de cotizaciones de Bloomberg objetivo durante las pruebas de autoescalado.
Dominio	daula[.]shop	Sitio de comercio electrónico utilizado como objetivo de prueba de DDoS.
Dominio	shoptienzombie[.]net	Sitio adicional impactado por inundaciones de bajo rendimiento.
IP / Servicio	8.8.8.8	Resolutor DNS público abusado para tráfico de amplificación.
IP / Servicio	1.1.1.1	Resolutor DNS público utilizado en ataques de amplificación DNS.
Host	time.google.com	Servidor NTP utilizado para amplificación basada en monlist.
Host	pool.ntp.org	Pool NTP público aprovechado para inundaciones reflejadas.
URL	api.proxyscrape[.]com	Fuente de proxy gratuita recolectada por fetch_free_proxies().
URL	proxylist.geonode[.]com	Sitio de lista de proxies utilizado para construir el pool de proxies.
URL	free‑proxy‑list[.]net	Lista de proxies pública consumida por el marco.
Archivo	proxy.txt	Archivo local que almacena proxies validados para rotación.
Archivo	c2.db	Base de datos SQLite que contiene clientes, ataques, informes y registros de CVV.
Archivo	keys.json	Almacén JSON para claves de licencia y control de acceso.
Archivo	history.json	Archivo utilizado para rastrear el uso de claves e historial de acceso.
Credencial	BOT_TOKEN	Token de bot de Telegram codificado utilizado para C2.
Credencial	ADMIN_ID = 7593738229	Identificador de administrador de Telegram verificado por is_admin().
Credencial	ADMIN_PASSWORD = “7788”	Contraseña de inicio de sesión de administrador estática para el comando /login.
URL	https://pastebin.com/ryxQ077S	Publicación de Pastebin que contiene la fuente de la variante posterior.
URL	https://pastebin.com/Rxk4VgnX	Publicación de Pastebin que contiene la fuente de la variante anterior.

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de enlaces. Re-actívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/nullzereptool-uses-telegram/