- \n
- Para el usuario final<\/strong>: lentitud constante en internet, consumo total del ancho de banda disponible, router u ONU al l\u00edmite (CPU al 100%), generando una enorme insatisfacci\u00f3n y riesgo de churn (p\u00e9rdida de clientes); <\/li>\n\n\n\n
- Para el ISP<\/strong>: ancho de banda consumido innecesariamente, sobrecarga en los BNG y CGNAT, mayor uso de los circuitos troncales, centro de atenci\u00f3n telef\u00f3nica abarrotado de reclamaciones sin soluci\u00f3n r\u00e1pida y elevados costes operativos; <\/li>\n\n\n\n
- Para terceros<\/strong>: cuyas redes son atacadas, delitos facilitados por la navegaci\u00f3n an\u00f3nima a trav\u00e9s de un proxy dom\u00e9stico. <\/li>\n<\/ul>\n\n
RESULTADO<\/strong>: clientes frustrados, elevados costes de asistencia y riesgo para la reputaci\u00f3n de todo el ISP. Un c\u00edrculo vicioso que nadie quiere y que crece r\u00e1pidamente. <\/p>\n\n
CAOS REAL<\/h4>\n\n
A continuaci\u00f3n encontrar\u00e1s una recopilaci\u00f3n de preguntas y respuestas a lo que ya sabemos sobre el tema. Y al final algunos consejos sobre c\u00f3mo protegerte o mitigarlo. <\/p>\n\n
1) \u00bfDe d\u00f3nde procede este ataque y por qu\u00e9?<\/strong> <\/h2>\n\n
Seg\u00fan los sitios web de seguridad Xlab y Synthient, los actores implicados en la botnet la utilizan para ganar dinero con determinados tipos de servicios: <\/p>\n\n
- \n
- Navegaci\u00f3n privada a trav\u00e9s de Proxy-Residencial<\/li>\n\n\n\n
- Ataques selectivos a los datos<\/li>\n\n\n\n
- Instalar aplicaciones de terceros<\/li>\n<\/ul>\n\n
Como tienen el control total de todos los dispositivos, utilizan servidores de control de comandos para crear t\u00faneles de navegaci\u00f3n, instalar aplicaciones y lanzar ataques DDoS contra terceros. Tambi\u00e9n se ha informado de cosas que van m\u00e1s all\u00e1 de la seguridad, como la difusi\u00f3n de im\u00e1genes y v\u00eddeos de temas controvertidos (pol\u00edticos, geopol\u00edticos, etc.). <\/p>\n\n
2) \u00bfYa hay demasiadas personas infectadas?<\/strong><\/h2>\n\n
Los datos de Synthient y XLab indican que, aunque solo representan una fracci\u00f3n de las comunicaciones, se registraron m\u00e1s de 12 millones de direcciones IP \u00fanicas (se estima que hay unos 2 millones de dispositivos). Y la mayor parte de ellas proceden de Brasil (~15 %), seguidas de Vietnam, India, EE. UU. y Argentina. <\/p>\n\n
![\"\"](\"https:\/\/made4it.com.br\/wp-content\/uploads\/2026\/01\/image.png\")
<\/figure>\n\nLa empresa de seguridad china XLab identific\u00f3 que la botnet Kimwolf hab\u00eda comprometido entre 1,8 y 2 millones de dispositivos, con una fuerte concentraci\u00f3n en Brasil, India, Estados Unidos y Argentina.<\/em>
3) \u00bfC\u00f3mo se infectan los equipos?<\/strong><\/h2>\n\n
Seguramente se habr\u00e1 preguntado alguna vez c\u00f3mo es posible que estos equipos sean tan baratos, \u00bfverdad? Pues s\u00ed. <\/p>\n\n
![\"\"](\"https:\/\/made4it.com.br\/wp-content\/uploads\/2026\/01\/image-1.png\")
<\/figure>\n\n\n
Algunas im\u00e1genes de dispositivos ya infectados. Fuente: Synthient. <\/em><\/p>\n<\/blockquote>\n\n
Adem\u00e1s, ya se ha comprobado que no se someten a un proceso riguroso de correcci\u00f3n de vulnerabilidades, parches de seguridad y actualizaciones o mejoras. Es un aut\u00e9ntico fest\u00edn para los delincuentes. <\/p>\n\n
La principal forma de infectar Kimwolf es aprovechando un fallo en los SDK de las aplicaciones proxy (como Byteconnect, IPIDEA y PYPROXY). El atacante alquila un proxy leg\u00edtimo de estos servicios, utiliza el t\u00fanel para \u00abvolver atr\u00e1s\u00bb a trav\u00e9s de la propia conexi\u00f3n del dispositivo y acceder a la red local interna, donde encuentra el ADB (Android Debug Bridge) expuesto sin autenticaci\u00f3n (puerto 5555 y similares). <\/p>\n\n
En segundos, env\u00eda comandos remotos, descarga el malware y lo instala todo.<\/strong><\/p>\n\n
![\"\"](\"https:\/\/made4it.com.br\/wp-content\/uploads\/2026\/01\/image-2.png\")
<\/figure>\n\n\n
Topolog\u00eda de infecci\u00f3n por proxy residencial. Fuente: Synthient. <\/em><\/p>\n<\/blockquote>\n\n
Hay varias formas de infectar los equipos (pero todas acaban convergiendo en este mecanismo principal):<\/p>\n\n
1\u00ba) De f\u00e1brica<\/strong><\/h3>\n\n
Muchos dispositivos salen de f\u00e1brica con aplicaciones proxy preinstaladas (sin que el usuario lo sepa), para monetizar despu\u00e9s el ancho de banda. Cuando el dispositivo entra en el grupo proxy (por ejemplo, IPIDEA, Byteconnect, PYPROXY), el atacante explota exactamente este puerto abierto.
2\u00ba) Instalando apps poco fiables<\/strong><\/h3>\n\n
Los usuarios instalan aplicaciones de terceros (no verificadas), y \u00e9stas a\u00f1aden silenciosamente el SDK del proxy, activando la ruta del exploit a trav\u00e9s de ADB.<\/p>\n\n
3\u00ba) Puertos ADB\/Telnet vulnerables<\/strong><\/h3>\n\n
Algunos de estos IPTV ya vienen con ADB expuesto por defecto. Incluso sin el SDK inicial, un peque\u00f1o escaneo\/fuerza bruta en puertos como 5555, 3222 o 5858 permite el acceso shell y la instalaci\u00f3n del malware. <\/p>\n\n
4) \u00bfQu\u00e9 son estas aplicaciones proxy?<\/strong><\/h2>\n\n
B\u00e1sicamente, son empresas que venden la navegaci\u00f3n por Internet a trav\u00e9s de sus \u00abproxies\u00bb en todo el mundo. Cuando les compras un servicio, configuras una \u00abVPN\u00bb a sus servidores, y luego tu navegaci\u00f3n pasa por el paquete elegido (por ejemplo, navegar a trav\u00e9s de IPs residenciales en Brasil, Vietnam, etc.). Ganan dinero cobrando unos pocos d\u00f3lares por GB de tr\u00e1fico. <\/p>\n\n
Pero, \u00bfqu\u00e9 hacer?<\/strong><\/h3>\n\n
Si quieres una respuesta f\u00e1cil, no la tendr\u00e1s. Vamos a tener que abordar este problema desde varios frentes. Al fin y al cabo, a diferencia de otras botnets en las que el dispositivo estaba bajo el control del ISP (el router, la ONU, etc.), en este caso el equipo infectado en el 99% de los casos es el del propio cliente. <\/p>\n\n
Desde la perspectiva de un ISP, podemos abordar el problema con cuatro acciones:<\/strong><\/p>\n\n
![\"\"](\"https:\/\/made4it.com.br\/wp-content\/uploads\/2026\/01\/image-3.png\")
<\/figure>\n\nAcci\u00f3n 1: Identificar a los clientes\/equipos infractores<\/strong><\/h3>\n\n
En el github de Synthient (el enlace estar\u00e1 m\u00e1s abajo), hay una parte de la lista de IPs\/puertos utilizados en la botnet. Pero ya son el primer paso hacia la identificaci\u00f3n. <\/p>\n\n
Utiliza esta lista y comp\u00e1rala con las comunicaciones de tu software netflow (preferiblemente made4flow), procedentes de tu BNG.<\/p>\n\n
Con esto, ya sabr\u00e1s qui\u00e9n est\u00e1 infectado internamente.<\/p>\n\n
Acci\u00f3n 2: mitigar \/ eludir los impactos<\/strong><\/h3>\n\n
Aqu\u00ed es donde entra en juego la creatividad t\u00e9cnica.<\/p>\n\n
Lo b\u00e1sico es bloquear las comunicaciones mediante un cortafuegos o un agujero negro (pero \u00e9stos no duran mucho y sirven como mucho de tirita, porque la red de bots es tan capaz de cambiar de IP\/red como las TV piratas de burlar los bloqueos de Anatel).<\/p>\n\n
Una vez hecho esto, empieza a pensar en soluciones m\u00e1s elaboradas.<\/p>\n\n
- \n
- control del n\u00famero de conexiones de cada cliente;<\/li>\n\n\n\n
- reglas din\u00e1micas flowspec para descartar el tr\u00e1fico malicioso (made4flow puede ayudar);<\/li>\n\n\n\n
- implementar NGFW para hacer frente al universo de clientes infectados (podemos hacerlo autom\u00e1ticamente, \u00bfeh?);<\/li>\n\n\n\n
- traslada a los clientes infectados a una red en cuarentena (que no afectar\u00e1 a los dem\u00e1s);<\/li>\n<\/ul>\n\n
Si necesitas ayuda, \u00a1ll\u00e1manos!<\/strong><\/p>\n\n
Acci\u00f3n 3: reparar los equipos infectados<\/strong><\/h3>\n\n
Las recomendaciones de los sitios web de seguridad son: destruye estos dispositivos. Y punto. <\/p>\n\n
Pero conocemos la realidad. No puedes destruir el aparato de un cliente, pero puedes trabajar para concienciarlo. Desarrolla un gui\u00f3n, ten tu ingenio a mano y ve a visitar a tu cliente. Ens\u00e9\u00f1ale c\u00f3mo se utiliza su red para cometer delitos. Ens\u00e9\u00f1ales los sitios, los art\u00edculos. <\/p>\n\n
Prueba a actualizar, reiniciar y eliminar las aplicaciones sospechosas.<\/p>\n\n
Utiliza el sitio web https:\/\/synthient.com\/check<\/a> para mostrar al cliente que ha quedado atrapado en los escaneos de la botnet.<\/p>\n\n
Acci\u00f3n 4: implantar una vigilancia constante<\/strong><\/h3>\n\n
- \n
- Permanece atento a los sitios web de seguridad sobre el tema;<\/li>\n\n\n\n
- Actualiza constantemente tu lista de bloqueados;<\/li>\n\n\n\n
- Escanea constantemente, y preferiblemente de forma autom\u00e1tica, tu red en busca de comunicaciones sospechosas;<\/li>\n\n\n\n
- Observa si los clientes suben a muchas IP diferentes: esto podr\u00eda ser un signo de compromiso;<\/li>\n\n\n\n
- Supervisa las consultas DNS en busca de dominios sospechosos (aunque tambi\u00e9n utilicen DoT y ENS);<\/li>\n\n\n\n
- Un buen software de netflow puede ayudar. Cuenta con made4flow para esta monitorizaci\u00f3n. <\/li>\n<\/ul>\n\n
Si te enfrentas a esto en tu red y quieres hablar de filtros, PBR o supervisi\u00f3n autom\u00e1tica, env\u00edame un mensaje o comenta aqu\u00ed. <\/p>\n\n
Estamos ayudando a varios ISP a mapear y aislar estos dispositivos sin quebraderos de cabeza adicionales.<\/strong><\/p>\n\n\n NECESITO AYUDA\n<\/a>\n\n
#Ciberseguridad #DDoS #Botnet #ISP #Kimwolf #Proveedor de Internet #Seguridad digital<\/strong><\/p>\n\n
Referencias del art\u00edculo<\/p>\n\n
https:\/\/synthient.com\/blog\/a-broken-system-fueling-botnets<\/a>
<\/p>\n","protected":false},"excerpt":{"rendered":"
Una vez m\u00e1s, las redes ISP est\u00e1n siendo atacadas… pero ahora el enemigo viene de dentro. \u00bfHas visto alguna vez el centro de llamadas estallar con quejas de lentitud inexplicable? Apenas nos hemos recuperado del ataque que explot\u00f3 vulnerabilidades en el SDK de Realtek, en el que se comprometieron routers y ONUs y se utilizaron para DDoS contra terceros, y ya estamos lidiando con una amenaza mucho m\u00e1s peligrosa y extendida: la botnet AISURU\/Kimwolf. Esta botnet explota principalmente dispositivos baratos Android IPTV, SmartTV y set-top-box instalados en los hogares de los usuarios. Estos dispositivos se convierten en zombis que venden proxies dom\u00e9sticos y, en menor medida, participan en ataques DDoS a terceros. \u00bfEl resultado? Problemas generalizados en varios frentes: RESULTADO: clientes frustrados, elevados costes de asistencia y riesgo para la reputaci\u00f3n de todo el ISP. Un c\u00edrculo vicioso que nadie quiere y que crece r\u00e1pidamente. CAOS REAL A continuaci\u00f3n encontrar\u00e1s una recopilaci\u00f3n de preguntas y respuestas a lo que ya sabemos sobre el tema. Y al final algunos consejos sobre c\u00f3mo protegerte o mitigarlo. 1) \u00bfDe d\u00f3nde procede este ataque y por qu\u00e9? Seg\u00fan los sitios web de seguridad Xlab y Synthient, los actores implicados en la botnet la utilizan para ganar dinero con determinados tipos de servicios: Como tienen el control total de todos los dispositivos, utilizan servidores de control de comandos para crear t\u00faneles de navegaci\u00f3n, instalar aplicaciones y lanzar ataques DDoS contra terceros. Tambi\u00e9n se ha informado de cosas que van m\u00e1s all\u00e1 de la seguridad, como la difusi\u00f3n de im\u00e1genes y v\u00eddeos de temas controvertidos (pol\u00edticos, geopol\u00edticos, etc.). 2) \u00bfYa hay demasiadas personas infectadas? Los datos de Synthient y XLab indican que, aunque solo representan una fracci\u00f3n de las comunicaciones, se registraron m\u00e1s de 12 millones de direcciones IP \u00fanicas (se estima que hay unos 2 millones de dispositivos). Y la mayor parte de ellas proceden de Brasil (~15 %), seguidas de Vietnam, India, EE. UU. y Argentina. La empresa de seguridad china XLab identific\u00f3 que la botnet Kimwolf hab\u00eda comprometido entre 1,8 y 2 millones de dispositivos, con una fuerte concentraci\u00f3n en Brasil, India, Estados Unidos y Argentina. Imagen: blog.xLab.qianxin.com 3) \u00bfC\u00f3mo se infectan los equipos? Seguramente se habr\u00e1 preguntado alguna vez c\u00f3mo es posible que estos equipos sean tan baratos, \u00bfverdad? Pues s\u00ed. Algunas im\u00e1genes de dispositivos ya infectados. Fuente: Synthient. Adem\u00e1s, ya se ha comprobado que no se someten a un proceso riguroso de correcci\u00f3n de vulnerabilidades, parches de seguridad y actualizaciones o mejoras. Es un aut\u00e9ntico fest\u00edn para los delincuentes. La principal forma de infectar Kimwolf es aprovechando un fallo en los SDK de las aplicaciones proxy (como Byteconnect, IPIDEA y PYPROXY). El atacante alquila un proxy leg\u00edtimo de estos servicios, utiliza el t\u00fanel para \u00abvolver atr\u00e1s\u00bb a trav\u00e9s de la propia conexi\u00f3n del dispositivo y acceder a la red local interna, donde encuentra el ADB (Android Debug Bridge) expuesto sin autenticaci\u00f3n (puerto 5555 y similares). En segundos, env\u00eda comandos remotos, descarga el malware y lo instala todo. Topolog\u00eda de infecci\u00f3n por proxy residencial. Fuente: Synthient. Hay varias formas de infectar los equipos (pero todas acaban convergiendo en este mecanismo principal): 1\u00ba) De f\u00e1brica Muchos dispositivos salen de f\u00e1brica con aplicaciones proxy preinstaladas (sin que el usuario lo sepa), para monetizar despu\u00e9s el ancho de banda. Cuando el dispositivo entra en el grupo proxy (por ejemplo, IPIDEA, Byteconnect, PYPROXY), el atacante explota exactamente este puerto abierto.\u00c9sta es la principal v\u00eda de infecci\u00f3n y as\u00ed es como m\u00e1s se propag\u00f3 la botnet Kimwolf, con millones de dispositivos comprometidos en meses. 2\u00ba) Instalando apps poco fiables Los usuarios instalan aplicaciones de terceros (no verificadas), y \u00e9stas a\u00f1aden silenciosamente el SDK del proxy, activando la ruta del exploit a trav\u00e9s de ADB. 3\u00ba) Puertos ADB\/Telnet vulnerables Algunos de estos IPTV ya vienen con ADB expuesto por defecto. Incluso sin el SDK inicial, un peque\u00f1o escaneo\/fuerza bruta en puertos como 5555, 3222 o 5858 permite el acceso shell y la instalaci\u00f3n del malware. 4) \u00bfQu\u00e9 son estas aplicaciones proxy? B\u00e1sicamente, son empresas que venden la navegaci\u00f3n por Internet a trav\u00e9s de sus \u00abproxies\u00bb en todo el mundo. Cuando les compras un servicio, configuras una \u00abVPN\u00bb a sus servidores, y luego tu navegaci\u00f3n pasa por el paquete elegido (por ejemplo, navegar a trav\u00e9s de IPs residenciales en Brasil, Vietnam, etc.). Ganan dinero cobrando unos pocos d\u00f3lares por GB de tr\u00e1fico. Pero, \u00bfqu\u00e9 hacer? Si quieres una respuesta f\u00e1cil, no la tendr\u00e1s. Vamos a tener que abordar este problema desde varios frentes. Al fin y al cabo, a diferencia de otras botnets en las que el dispositivo estaba bajo el control del ISP (el router, la ONU, etc.), en este caso el equipo infectado en el 99% de los casos es el del propio cliente. Desde la perspectiva de un ISP, podemos abordar el problema con cuatro acciones: Acci\u00f3n 1: Identificar a los clientes\/equipos infractores En el github de Synthient (el enlace estar\u00e1 m\u00e1s abajo), hay una parte de la lista de IPs\/puertos utilizados en la botnet. Pero ya son el primer paso hacia la identificaci\u00f3n. Utiliza esta lista y comp\u00e1rala con las comunicaciones de tu software netflow (preferiblemente made4flow), procedentes de tu BNG. Con esto, ya sabr\u00e1s qui\u00e9n est\u00e1 infectado internamente. Acci\u00f3n 2: mitigar \/ eludir los impactos Aqu\u00ed es donde entra en juego la creatividad t\u00e9cnica. Lo b\u00e1sico es bloquear las comunicaciones mediante un cortafuegos o un agujero negro (pero \u00e9stos no duran mucho y sirven como mucho de tirita, porque la red de bots es tan capaz de cambiar de IP\/red como las TV piratas de burlar los bloqueos de Anatel). Una vez hecho esto, empieza a pensar en soluciones m\u00e1s elaboradas. Si necesitas ayuda, \u00a1ll\u00e1manos! Acci\u00f3n 3: reparar los equipos infectados Las recomendaciones de los sitios web de seguridad son: destruye estos dispositivos. Y punto. Pero conocemos la realidad. No puedes destruir el aparato de un cliente, pero puedes trabajar para concienciarlo. Desarrolla un gui\u00f3n, ten tu ingenio a mano y ve a visitar a tu cliente. Ens\u00e9\u00f1ale c\u00f3mo se utiliza su red<\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1282,1280,1281,871],"tags":[1284,1283,1285,1286,1287],"class_list":["post-18777","post","type-post","status-publish","format-standard","hentry","category-configuraciones","category-ddos","category-firewall","category-red","tag-botnet","tag-ddos","tag-kimwolf","tag-mitigacion","tag-mitigar"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t
- Para el ISP<\/strong>: ancho de banda consumido innecesariamente, sobrecarga en los BNG y CGNAT, mayor uso de los circuitos troncales, centro de atenci\u00f3n telef\u00f3nica abarrotado de reclamaciones sin soluci\u00f3n r\u00e1pida y elevados costes operativos; <\/li>\n\n\n\n