{"id":782,"date":"2026-05-06T21:13:45","date_gmt":"2026-05-06T21:13:45","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/06\/la-botnet-xlabs_v1-basada-en-mirai-explota-adb-para-secuestrar-dispositivos-iot-para-ataques-ddos-cyberdefensa-mx\/"},"modified":"2026-05-06T21:13:45","modified_gmt":"2026-05-06T21:13:45","slug":"la-botnet-xlabs_v1-basada-en-mirai-explota-adb-para-secuestrar-dispositivos-iot-para-ataques-ddos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/06\/la-botnet-xlabs_v1-basada-en-mirai-explota-adb-para-secuestrar-dispositivos-iot-para-ataques-ddos-cyberdefensa-mx\/","title":{"rendered":"La botnet xlabs_v1 basada en Mirai explota ADB para secuestrar dispositivos IoT para ataques DDoS \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han expuesto una nueva botnet derivada de Mirai que se autoidentifica como xlabs_v1<\/strong> y apunta a dispositivos expuestos a Internet que ejecutan Android Debug Bridge (BAsD<\/a>) para alistarlos en una red capaz de llevar a cabo ataques distribuidos de denegaci\u00f3n de servicio (DDoS).<\/p>\n

Hunt.io, que detallado<\/a> el malware, dijo que hizo el descubrimiento despu\u00e9s de identificar un directorio expuesto en un servidor alojado en los Pa\u00edses Bajos en la direcci\u00f3n IP \u00ab176.65.139[.]44\u00bb sin necesidad de autenticaci\u00f3n.<\/p>\n

El malware admite \u00ab21 variantes de inundaci\u00f3n en TCP, UDP y protocolos sin formato, incluidos RakNet y UDP en forma de OpenVPN, capaces de eludir la protecci\u00f3n DDoS de nivel de consumidor\u00bb, dijo Hunt.io, y agreg\u00f3 que se ofrece como un servicio DDoS de alquiler dise\u00f1ado para apuntar a servidores de juegos y hosts de Minecraft.<\/p>\n

Lo que hace que xlabs_v1 sea notable es que busca dispositivos Android que ejecutan un servicio ADB expuesto en el puerto TCP 5555, lo que significa que cualquier equipo que venga con la herramienta habilitada de forma predeterminada, como cajas de TV Android, decodificadores y televisores inteligentes, podr\u00eda ser un objetivo potencial.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Adem\u00e1s de un APK de Android (\u00abboot.apk\u00bb, el malware admite compilaciones de m\u00faltiples arquitecturas que cubren ARM, MIPS, x86-64 y ARC, lo que indica que tambi\u00e9n est\u00e1 dise\u00f1ado para apuntar a enrutadores residenciales y hardware de Internet de las cosas (IoT).<\/p>\n

El resultado es una botnet especialmente dise\u00f1ada para recibir un comando de ataque desde el panel del operador (\u00abxlabslover[.]lol\u00bb) y generar una avalancha de tr\u00e1fico basura bajo demanda, dirigiendo espec\u00edficamente el ataque DDoS contra los servidores del juego.<\/p>\n

\u00abEl bot est\u00e1 vinculado est\u00e1ticamente a ARMv7, se ejecuta en firmwares de Android eliminados y se entrega a trav\u00e9s de pegados de ADB-shell en \/data\/local\/tmp\u00bb, explic\u00f3 Hunt.io. \u00abLa lista de carga \u00fatil de nueve variantes del operador est\u00e1 adaptada a decodificadores de TV Android, decodificadores, televisores inteligentes y hardware ARM de grado IoT que se env\u00eda con ADB habilitado\u00bb.<\/p>\n

Existe evidencia que indica que el servicio de alquiler de DDoS presenta precios por niveles de ancho de banda. Esta evaluaci\u00f3n se basa en la presencia de una rutina de creaci\u00f3n de perfiles de ancho de banda que recopila el ancho de banda y la geolocalizaci\u00f3n de la v\u00edctima.<\/p>\n

Este componente abre 8.192 sockets TCP paralelos al servidor Speedtest geogr\u00e1ficamente m\u00e1s cercano, los satura durante 10 segundos e informa la velocidad de transferencia de datos medida al panel. El objetivo, se\u00f1al\u00f3 Hunt.io, es asignar cada dispositivo comprometido a un nivel de precios para sus clientes de pago.<\/p>\n

Un aspecto importante a destacar aqu\u00ed es que la botnet existe despu\u00e9s de enviar la informaci\u00f3n del ancho de banda en Megabits por segundo (Mbps), por lo que el operador debe reinfectar el dispositivo por segunda vez a trav\u00e9s del mismo canal de explotaci\u00f3n ADB, dada la ausencia de un mecanismo de persistencia.<\/p>\n

\u00abEl bot no se escribe en ubicaciones de persistencia del disco, no modifica los scripts de inicio, no crea unidades systemd y no registra trabajos cron\u00bb, dijo Hunt.io. \u00abEste dise\u00f1o sugiere que el operador ve el sondeo del ancho de banda como una operaci\u00f3n poco frecuente de actualizaci\u00f3n de niveles de flota en lugar de una verificaci\u00f3n previa al vuelo por ataque, y el ciclo resultante de salida y reinfecci\u00f3n es la intenci\u00f3n del dise\u00f1o\u00bb.<\/p>\n

xlabs_v1 tambi\u00e9n cuenta con un subsistema \u00abasesino\u00bb para eliminar a los competidores de modo que pueda usurpar todo el ancho de banda ascendente del dispositivo v\u00edctima y usarlo para llevar a cabo el ataque DDoS. Actualmente no se sabe qui\u00e9n est\u00e1 detr\u00e1s del malware, pero el actor de la amenaza se conoce con el apodo de \u00abTadashi\u00bb, como lo demuestra una cadena cifrada con ChaCha20 incrustada en cada versi\u00f3n del bot.<\/p>\n

Un an\u00e1lisis m\u00e1s detallado de la infraestructura coubicada ha descubierto un kit de herramientas de miner\u00eda VLTRig Monero en el host 176.65.139[.]42, aunque actualmente no se sabe si los dos conjuntos de actividades son obra del mismo actor de amenazas.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

\u00abEn t\u00e9rminos comercial-criminales, xlabs_v1 es de nivel medio. Es m\u00e1s sofisticado que el t\u00edpico fork de Mirai para ni\u00f1os. [\u2026]pero menos sofisticado que el nivel superior de operaciones comerciales de alquiler de DDoS\u00bb, dijo Hunt.io. \u00abEste operador compite en precio y variedad de ataques, no en sofisticaci\u00f3n t\u00e9cnica. El objetivo son los dispositivos IoT de consumo, los enrutadores residenciales y los operadores de servidores de juegos peque\u00f1os\u00bb.<\/p>\n

El desarrollo se produce cuando Darktrace revel\u00f3 que una instancia de Jenkins mal configurada intencionalmente en su red honeypot fue atacada por actores de amenazas desconocidos para implementar una botnet DDoS descargada desde un servidor remoto (\u00ab103.177.110[.]202\u00bb), mientras simult\u00e1neamente tomaba medidas para evadir la detecci\u00f3n.<\/p>\n

\u00abLa presencia de t\u00e9cnicas DoS espec\u00edficas de los juegos resalta a\u00fan m\u00e1s que la industria del juego sigue siendo un objetivo generalizado de los ciberatacantes\u00bb, dijo la empresa. dicho<\/a>. \u00abEs probable que esta botnet ya se haya utilizado contra servidores de juegos, lo que sirve como recordatorio para que los operadores de servidores se aseguren de que se implementen las mitigaciones adecuadas\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han expuesto una nueva botnet derivada de Mirai que se autoidentifica como xlabs_v1 y apunta a dispositivos expuestos a Internet que ejecutan Android Debug Bridge (BAsD) para alistarlos en una red capaz de llevar a cabo ataques distribuidos de denegaci\u00f3n de servicio (DDoS). Hunt.io, que detallado el malware, dijo que hizo el […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2325,233,537,173,24,445,694,851,1095,1911,36,268,2324],"class_list":["post-782","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-adb","tag-ataques","tag-basada","tag-botnet","tag-cyberdefensa-mx","tag-ddos","tag-dispositivos","tag-explota","tag-iot","tag-mirai","tag-para","tag-secuestrar","tag-xlabs_v1"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/782","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=782"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/782\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=782"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=782"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=782"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}