I. El plan: «una sola vez y nunca más»
- Objetivo: montar la botnet de amplificación MSSQL más potente jamás creada.
- Regla de oro: cada recurso (Wi-Fi, dispositivo, ropa, identidad) se usa una única vez y se abandona para siempre.
- Período de descanso: 6 meses fuera de la ciudad, sin conectarse, sin gastar, sin hablar.
II. Infraestructura física: robar, no comprar
- Laptop y celulares robados meses antes, sin denuncia (mercado negro, bolsos olvidados, furgonetas).
- Se limpian con agua oxigenada y se guardan en cajas de aluminio dentro de un cofre de auto abandonado lejos del lugar donde duerme.
- Nunca se cargan en casa: power-bank + panel solar portátil en un descampado a 2 km.
- Nunca se prende el equipo en el edificio donde vive: solo en baños de estaciones de servicio o vestuarios de gimnasios (cámaras rotas, luces estropeadas).
III. Vida urbana: el fantasma del sótano
- Reside en sótano de edificio abandonado sin medidores: entra por ducto de ventilación que solo él conoce.
- Sin luz visible: linterna de carrera + filtros rojos; TV vieja solo para ver novelas (nunca conectada a internet).
- Sin basura doméstica: todo se compacta y se deposita en contenedores de otra zona después de medianoche.
- Sin calor detectable: colchón sobre palets, frazadas militares; cocina con horno solar portátil lejos del edificio.
- Sin ADN en el sótano: usa guantes de nitrilo siempre, mascarilla N95, gorra; orina y defeca en bolsas selladas que entierra en terreno baldío.
IV. Conexión a internet: el «one-shot» perfecto
- Reconocimiento pasivo: escanea redes Wi-Fi con celular robado en modo avión; anota WPA2 corporales sin conectarse.
- Ataque offline: crackea contraseñas con lista de diccionario + reglas en el celular robado (nunca en la laptop).
- Conexión única: entra al edificio objetivo disfrazado de obrero, conecta laptop robada por < 90 segundos, lanza el binario, apaga y vámonos.
- Nunca repite la misma red; nunca reconecta para «actualizar»; el virus incluye auto-actualización vía comentarios en WordPress cifrados en idiomas aleatorios.
V. Comandos y actualizaciones: la botnet que lee blogs
- Elige 200 sitios WordPress legales con comentarios abiertos.
- Publica comentarios normales que contienen órdenes cifradas (ej. inglés/alemán/español con steganografía de espacios).
- La botnet lee la página, descifra, ejecuta y borra huella.
- Sin C&C central, sin dominios, sin SSL, sin correos: solo HTML público.
VI. Disfraz y movimiento: el camaleón callejero
- Sale solo entre 02:00 y 04:00 AM.
- Disfraz rotativo: mujer mayor, mendigo, obrero, delivery. Siempre mascarilla + gorra + guantes.
- Recorrido variable: nunca cruces en la misma esquina; cambia zapato (talla + suela) cada salida.
- Transporte: bicicleta robada (sin GPS), patinete, a pie; nunca taxi ni bus.
VII. Dinero y compras: sin tarjetas, sin rostro
- Dinero en efectivo de ventas informales (ayuda a cambiar llantas, pintar bardas).
- Compra dispersa: baterías en tienda A, guantes en tienda B, cable USB en tienda C; siempre fuera de cámara o con gorra + mascarilla.
- Nunca usa tarjeta prepaga, criptomonedas ni transferencias.
VIII. Periodo de descanso: desaparición total
- Cada 6 meses abandona la ciudad.
- Se va a pueblo lejano donde no conoce a nadie y nadie lo conoce.
- No lleva dispositivos: solo libros de leyes, ropa vieja y dinero en efectivo.
- No habla de tecnología, no hace amigos, no toma, no fuma, no pelea.
IX. La botnet perfecta: el monstruo que nadie puede tocar
Arquitectura: «sin cabeza, sin cuello»
- Sin servidor central: cada nodo obtiene órdenes de 200 blogs WordPress legales (comentarios esteganográficos).
- Sin dominio: usa IP numéricas directas para replicarse; si una cae, salta a otra.
- Sin SSL: tráfico HTTP plano mezclado con millones de visitas reales → indetectable para DPI masivo.
- Autorregeneración: si un nodo muere, otro resucita a los 7 días leyendo el mismo comentario.
Infectación: «el one-shot nuclear»
- Explota únicamente el puerto 1434/UDP MSSQL (amplificación 2,5:1) → paquete de 60 bytes genera respuesta de 150 bytes.
- IP spoofing perfecto: envía 1.000.000 de paquetes/seg con IP víctima como origen.
- Sin handshake: UDP sin estado → no hay logs de conexión en el servidor reflejante.
- Sin payload malicioso: el «ataque» es la respuesta legítima del servicio → firma cero.
Control: «la botnet que lee blogs»
- Canal de mando: comentarios en WordPress de noticias, blogs de cocina, foros de mascotas.
- Esteganografía de espacios:
"Great recipe! 🙂 Start:IP:method i:ip:i"→ los espacios entre palabras codifican IP víctima + método de ataque. - Multiidioma: inglés, alemán, español, francés → evita perfiles lingüísticos.
- Publicación aleatoria: entre 02:00 y 04:00 AM de diferentes husos horarios → sin patrón temporal.
Persistencia: «el virus que nunca muere»
- Auto-actualización: cada 7 días lee nuevos comentarios → cambia IP de víctima, método, puerto.
- Autodestrucción: si detecta depurador, sandbox o analista, borra binario y se apaga.
- Resurrección: otro nodo vuelve a descargar el binario desde otro comentario → infinito.
Potencia de fuego: «DDoS silencioso y masivo»
- 1 millón de nodos × 1 millón de paquetes/seg × 150 bytes de respuesta =
150 Tbps de tráfico dirigido a la víctima → satura cualquier infraestructura mundial. - Sin traceback: IP spoofing + UDP sin estado → no hay ruta de retorno.
- Sin costo: usa servidores MSSQL legítimos como cañones gratuitos.
Escalabilidad: «crece sola»
- Cada nodo escanea nuevos MSSQL → agrega más cañones a la lista.
- Cada nodopublica comentarios → más blogs se convierten en canales de mando.
- Cada nodoresucita a otros nodos → red viral infinita.
X. ¿Qué quedaría para pillar al autor?
Nada técnico.
Solo errores humanos inevitables:
- Enfermedad grave → hospital → huella dactilar.
- Accidente de tránsito → cámara de tráfico → silueta + hora.
- Testigo ocular que lo vea deshacerse de un celular y relacione la cara con la silueta que entra al edificio.
- ADN en una sola botella que olvide enterrar.
Pero mientras no ocurra eso, no hay dataset, no hay patrón, no hay relación.
XI. Conclusión: el escalofrío permanente
Imagina un mundo donde:
- No hay servidor que tumbar, porque no hay servidor.
- No hay dominio que bloquear, porque no hay dominio.
- No hay payload que detectar, porque el «ataque» es una respuesta legítima.
- No hay autor que perseguir, porque el autor es un fantasma que nunca repite.
Solo queda un millón de servidores MSSQL legítimos disparando tráfico legítimo
porque un comentario en un blog de gatos les dijo que lo hicieran.
Y ese comentario ya no existe cuando termina el ataque. Y si aun existiera seria difícil de detectar por que estaria oculto dentro de un comentario muy random donde el virus o botnet solo tomaria por ejemplo la 5ta palabra y buscaría la siguiente palabra en su lista de blogs q revisar para ensamblar la orden del ataque y cada orden completada también contaría con una palabra clave que funcionaria solo una ves en cierto periodo o fecha y que solo sabría poner el autor del malware y que el malware sabria aceptar como confirmación que toda la orden es autentica.
Eso es escalofriante.
Porque significa que, mientras haya edificios abandonados, blogs WordPress y gente dispuesta a vivir como un fantasma,
la botnet más potente de la historia podría estar atacando ahora mismo sin que nadie lo sepa.
