Ver el código de «Jenkins DDoS Botnet Campaign (Gaming Server Targeting)»

Jenkins DDoS Botnet Campaign se refiere a una campaña maliciosa detectada por el sistema de honeypots CloudyPots de Darktrace el 18 de marzo de 2026, donde actores de amenazas explotan servidores Jenkins mal configurados para desplegar una botnet de denegación de servicio distribuido (DDoS) dirigida específicamente a servidores de videojuegos, con un enfoque particular en la infraestructura de Valve Corporation (creadores de Steam, Counter-Strike y Team Fortress 2). Los atacantes aprovecharon el endpoint <code>scriptText</code> de Jenkins, que permite ejecutar comandos directamente en el servidor, para obtener ejecución remota de código (RCE) mediante un script de Groovy. Una vez dentro, el script malicioso descargaba diferentes payloads según el sistema operativo: en sistemas Windows, descargaba un ejecutable llamado <code>w.exe</code> desde la IP <code>103.177.110.202</code>, lo ocultaba en la carpeta Temp como <code>update.dat</code>, lo renombraba a <code>win_sys.exe</code>, y abría el puerto TCP <code>5444</code> para recibir instrucciones; en sistemas Linux, ejecutaba un comando Bash de una línea que descargaba un binario llamado <code>bot_x64.exe</code> en el directorio <code>/tmp</code>. Un aspecto inusual de esta campaña es que los atacantes utilizaron una única dirección IP (perteneciente a Webico, un proveedor vietnamita bajo la marca Tino en la ciudad de Ho Chi Minh) para todas las fases del ataque: acceso inicial, entrega de payloads y comando y control, sacrificando la seguridad operacional por la simplicidad. Para evadir la detección, el malware en Linux utiliza una variable de entorno llamada <code>dontKillMe</code> para evitar que Jenkins termine el proceso por exceder el tiempo de ejecución, luego elimina su archivo original y se renombra con nombres de procesos legítimos del sistema como <code>ksoftirqd/0</code> o <code>kworker</code>. El objetivo principal de la botnet es colapsar servidores que ejecutan el motor Valve Source Engine (utilizado por juegos como Team Fortress 2 y Counter-Strike), empleando métodos como <code>attack_dayz</code> que envía una consulta Source Engine Query para sobrecargar al servidor con datos. También incluye un modo <code>attack_special</code> diseñado para atacar puertos específicos como el 27015 (puerto predeterminado de servidores de juegos Valve), 53 (DNS) y 123 (NTP). Darktrace concluye que esta botnet probablemente ya ha sido utilizada contra servidores de juegos, destacando cómo una simple mala configuración en un servidor de desarrollo puede ser explotada para afectar a toda una industria.
----

== Nombres Alternativos / Aliases ==

* Jenkins ScriptText RCE Campaign (Por el endpoint explotado)
* Valve Source Engine DDoS Botnet (Por el objetivo principal)
* Webico DDoS Botnet (Por el proveedor de infraestructura)
* Single-IP Botnet Operation (Por la inusual concentración en una IP)
* Gaming Server DDoS Campaign (Por el sector objetivo)

----

== Fecha de Detección / Actividad ==

* Fecha de Detección: 18 de marzo de 2026 (por honeypot CloudyPots de Darktrace)
* Fecha de Publicación del Análisis: 1 de mayo de 2026
* Período de Actividad: No especificado, pero la campaña estaba activa en marzo de 2026
* Estado: Activo. La botnet probablemente sigue operando y buscando servidores Jenkins mal configurados.

----

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: No atribuido a un grupo específico.
* Tipo de Actor: Desconocido. Opera una botnet DDoS dirigida a la industria del gaming.
* Sofisticación: Media. El actor demuestra capacidades de: (a) identificación de servidores Jenkins mal configurados, (b) explotación del endpoint <code>scriptText</code> para RCE, (c) desarrollo de scripts Groovy multi-plataforma (Windows y Linux), (d) uso de técnicas de evasión como renombramiento de procesos y variables de entorno (<code>dontKillMe</code>), (e) implementación de métodos de ataque DDoS específicos para el motor Valve Source Engine (<code>attack_dayz</code>), y (f) ofuscación básica. Sin embargo, la decisión de utilizar una única dirección IP para todas las fases del ataque representa una significativa debilidad operacional (OPSEC), lo que sugiere un actor con limitaciones de recursos o priorización de simplicidad sobre seguridad.

----

== Resumen Ejecutivo ==
Jenkins DDoS Botnet Campaign representa una amenaza emergente que explota una de las herramientas de desarrollo más comunes en la industria del software: Jenkins, un servidor de automatización de código abierto utilizado para integración continua y entrega continua (CI/CD). Detectada por Darktrace a través de su red de honeypots CloudyPots el 18 de marzo de 2026, la campaña aprovecha servidores Jenkins mal configurados que exponen el endpoint <code>scriptText</code>, el cual permite a los usuarios enviar comandos directamente al servidor. Los atacantes abusan de esta funcionalidad para ejecutar un script de Groovy que les otorga capacidad de ejecución remota de código (RCE). Una vez que tienen control del servidor Jenkins, el script descarga payloads específicos según el sistema operativo de la víctima. En sistemas Windows, se descarga un archivo ejecutable llamado <code>w.exe</code> desde la dirección IP <code>103.177.110.202</code> (perteneciente a Webico, un proveedor vietnamita bajo la marca Tino en la ciudad de Ho Chi Minh). El archivo se oculta en la carpeta <code>Temp</code> como <code>update.dat</code> y luego se renombra a <code>win_sys.exe</code>. Finalmente, el malware abre el puerto TCP <code>5444</code> para recibir instrucciones del atacante. En sistemas Linux, se ejecuta un comando Bash de una línea que descarga un binario llamado <code>bot_x64.exe</code> en el directorio <code>/tmp</code>. Lo más inusual de esta campaña es que los atacantes utilizaron la misma dirección IP (<code>103.177.110.202</code>) para todas las fases de la operación: acceso inicial, entrega de payloads y servidor de comando y control (C2). Esta decisión contrasta con las mejores prácticas de los ciberdelincuentes, que suelen utilizar infraestructuras distribuidas para dificultar el rastreo. En este caso, los atacantes sacrificaron la seguridad operacional en favor de la simplicidad. Para evadir la detección, el malware en Linux emplea varias técnicas: utiliza una variable de entorno llamada <code>dontKillMe</code> para evitar que Jenkins termine el proceso por exceder el tiempo de ejecución; luego elimina su archivo original (<code>bot_x64.exe</code>) y se renombra a sí mismo con nombres de procesos legítimos del sistema como <code>ksoftirqd/0</code> o <code>kworker</code>, haciéndose pasar por componentes normales del sistema operativo. 


El objetivo principal de la botnet es colapsar servidores de videojuegos, específicamente aquellos que ejecutan el motor Valve Source Engine, utilizado por juegos populares como Team Fortress 2, Counter-Strike: Global Offensive y Counter-Strike 2. El malware implementa un método de ataque llamado <code>attack_dayz</code>, que consiste en enviar una consulta Source Engine Query al servidor objetivo, engañándolo para que responda con una cantidad de datos tan grande que eventualmente deja de responder (sobrecarga por saturación). Además, incluye un modo <code>attack_special</code> diseñado para atacar puertos específicos: 27015 (puerto predeterminado de los servidores de juegos de Valve), 53 (DNS) y 123 (NTP), este último probablemente utilizado para ataques de amplificación NTP. Darktrace concluye que esta botnet probablemente ya ha sido utilizada contra servidores de juegos activos, y advierte que la presencia de técnicas de denegación de servicio específicas para juegos subraya que la industria del gaming sigue siendo un objetivo prioritario para los ciberatacantes. El incidente sirve como un recordatorio de que una simple mala configuración en un servidor de desarrollo aparentemente insignificante puede tener consecuencias significativas para toda una industria.
----

== Vectores de Ataque / Métodos de Distribución ==

# Explotación de Jenkins Mal Configurado: El atacante identifica servidores Jenkins que tienen expuesto el endpoint <code>scriptText</code> (normalmente utilizado para administración y depuración) sin las debidas restricciones de autenticación.
# Ejecución Remota de Código mediante Groovy Script: El atacante envía un script de Groovy malicioso a través del endpoint <code>scriptText</code>, obteniendo capacidad de ejecutar comandos arbitrarios en el servidor Jenkins comprometido.
# Descarga de Payloads Multi-Plataforma: El script de Groovy determina el sistema operativo de la víctima y descarga el payload correspondiente:
#* Windows: <code>w.exe</code> desde <code>103.177.110.202</code>
#* Linux: <code>bot_x64.exe</code> mediante comando Bash
# Ocultamiento y Persistencia: El malware se oculta en directorios del sistema (<code>Temp</code> en Windows, <code>/tmp</code> en Linux) y se renombra con nombres de procesos legítimos para evadir la detección.
# Establecimiento de Canal C2: El malware abre un puerto de escucha (TCP <code>5444</code> en Windows) para recibir instrucciones del atacante, o establece comunicación con la IP <code>103.177.110.202</code>.

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Exploit Public-Facing Application (T1190)
|Explotación del endpoint <code>scriptText</code> de Jenkins expuesto a internet sin autenticación adecuada.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: Groovy (T1059.013)
|Ejecución de script de Groovy malicioso a través del endpoint <code>scriptText</code> de Jenkins.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: Unix Shell (T1059.004)
|Ejecución de comando Bash para descargar payload en sistemas Linux.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: PowerShell (T1059.001)
|Posible uso de PowerShell en Windows (no se especifica explícitamente, pero común en descargas).
|-
|Persistence (TA0003)
|Create or Modify System Process (T1543) - Windows Service (T1543.003)
|El malware <code>win_sys.exe</code> puede configurarse como servicio para persistencia.
|-
|Persistence (TA0003)
|Boot or Logon Autostart Execution (T1547)
|El renombramiento a <code>ksoftirqd/0</code> o <code>kworker</code> en Linux permite persistencia como procesos del sistema.
|-
|Defense Evasion (TA0005)
|Masquerading (T1036) - Match Legitimate Name or Location (T1036.005)
|El malware se renombra a <code>ksoftirqd/0</code> o <code>kworker</code> (procesos legítimos de Linux) y <code>win_sys.exe</code> (genérico) para ocultarse.
|-
|Defense Evasion (TA0005)
|Hide Artifacts: Hidden Files and Directories (T1564.001)
|Ocultamiento de payloads en carpetas <code>Temp</code> (Windows) y <code>/tmp</code> (Linux).
|-
|Defense Evasion (TA0005)
|Indicator Removal: File Deletion (T1070.004)
|El malware elimina su archivo original después de ejecutarse para cubrir rastros.
|-
|Defense Evasion (TA0005)
|Execution Guardrails (T1480) - Environmental Keying (T1480.001)
|Uso de variable de entorno <code>dontKillMe</code> para evitar que Jenkins termine el proceso.
|-
|Command and Control (TA0011)
|Application Layer Protocol (T1071) - Web Protocols (T1071.001)
|Comunicación C2 a través de HTTP/HTTPS para descargar payloads y recibir instrucciones.
|-
|Command and Control (TA0011)
|Non-Standard Port (T1571)
|Apertura del puerto TCP <code>5444</code> para recibir comandos (puerto no estándar).
|-
|Impact (TA0040)
|Network Denial of Service: Direct Network Flood (T1498.001)
|Ataque DDoS <code>attack_dayz</code> que sobrecarga servidores Valve Source Engine con consultas maliciosas.
|-
|Impact (TA0040)
|Endpoint Denial of Service: Application Exhaustion Flood (T1499.003)
|Ataque <code>attack_special</code> dirigido a puertos específicos (27015, 53, 123) para agotar recursos de aplicaciones.
|}
----

== Flujo de Ataque (Cyber Kill Chain - Darktrace) ==

# Reconocimiento: El atacante escanea internet en busca de servidores Jenkins que tengan expuesto el endpoint <code>scriptText</code> sin autenticación o con credenciales débiles.
# Armamento: El atacante desarrolla: (a) un script de Groovy para ejecución remota de código, (b) payloads para Windows (<code>w.exe</code>, renombrado a <code>win_sys.exe</code>) y Linux (<code>bot_x64.exe</code>), (c) técnicas de ofuscación (renombramiento a procesos legítimos, variables de entorno), y (d) métodos de ataque DDoS específicos para el motor Valve Source Engine (<code>attack_dayz</code>, <code>attack_special</code>). Configura la infraestructura C2 en una única IP (<code>103.177.110.202</code> en Webico, Vietnam).
# Entrega: El atacante se conecta al endpoint <code>scriptText</code> del servidor Jenkins vulnerable y envía el script de Groovy malicioso.
# Explotación: El servidor Jenkins ejecuta el script de Groovy sin validación de autenticación, otorgando al atacante capacidad de ejecución remota de código (RCE).
# Instalación: El script determina el sistema operativo y descarga el payload correspondiente desde <code>103.177.110.202</code>:
#* Windows: <code>w.exe</code> → <code>update.dat</code> en <code>Temp</code> → renombrado a <code>win_sys.exe</code>
#* Linux: <code>bot_x64.exe</code> en <code>/tmp</code>
#* El malware establece persistencia renombrándose como procesos legítimos (<code>ksoftirqd/0</code>, <code>kworker</code>).
#* En Windows, abre el puerto TCP <code>5444</code> para recibir instrucciones.
# Comando y Control (C2): Los sistemas infectados se comunican con la IP <code>103.177.110.202</code> (o esperan conexiones entrantes en el puerto <code>5444</code> en Windows) para recibir comandos de ataque DDoS.
# Acción sobre Objetivos: El atacante envía comandos a la botnet para ejecutar ataques DDoS contra servidores de juegos objetivo, específicamente aquellos que ejecutan el motor Valve Source Engine (puerto <code>27015</code>). Los métodos de ataque incluyen:
#* <code>attack_dayz</code>: Consulta Source Engine Query que sobrecarga al servidor con respuestas masivas de datos.
#* <code>attack_special</code>: Ataques dirigidos a puertos <code>27015</code> (juegos), <code>53</code> (DNS) y <code>123</code> (NTP).

----

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|IP Única (Acceso, Payload, C2)
|<code>103.177.110.202</code>
|Servidor de descarga de payloads y punto de control C2.
|-
|Proveedor de Alojamiento
|Webico (marca Tino, Ciudad Ho Chi Minh, Vietnam)
|Alojamiento de la infraestructura maliciosa.
|-
|Endpoint Explotado
|<code>scriptText</code> en servidores Jenkins
|Vector de acceso inicial y ejecución remota de código.
|-
|Payload Windows
|<code>w.exe</code> → <code>update.dat</code> → <code>win_sys.exe</code>
|Binario malicioso para sistemas Windows.
|-
|Payload Linux
|<code>bot_x64.exe</code>
|Binario malicioso para sistemas Linux.
|-
|Puerto C2 (Windows)
|TCP <code>5444</code>
|Puerto de escucha para comandos del atacante.
|-
|Procesos Legítimos Suplantados (Linux)
|<code>ksoftirqd/0</code>, <code>kworker</code>
|Nombres utilizados para ocultar el malware.
|-
|Variable de Entorno
|<code>dontKillMe</code>
|Evita que Jenkins termine el proceso malicioso.
|}
----

== Objetivos y Sectores Afectados ==

* Objetivo Principal: Servidores de videojuegos, específicamente aquellos que ejecutan el motor Valve Source Engine.
* Sector Prioritario: Industria del Gaming / Entretenimiento interactivo.
* Juegos Específicamente Afectados: Team Fortress 2, Counter-Strike: Global Offensive (CS:GO), Counter-Strike 2, y otros juegos basados en el motor Source Engine de Valve.
* Infraestructura Objetivo: Servidores de juegos de Valve Corporation y servidores de terceros que alojan juegos de Valve.
* Puertos Objetivo: <code>27015</code> (puerto predeterminado de servidores Valve Source Engine), <code>53</code> (DNS), <code>123</code> (NTP).
* Plataformas Afectadas (Servidores Jenkins): Servidores de automatización y CI/CD que ejecutan Jenkins y tienen mal configurado el endpoint <code>scriptText</code>. Pueden estar en cualquier industria.
* Sistemas Operativos Afectados: Microsoft Windows y Linux (distribuciones que ejecutan Jenkins).

----

== Impacto y Riesgo ==

* Nivel de Riesgo: Medio-Alto para la industria del gaming (disponibilidad de servidores) y Medio para organizaciones con servidores Jenkins mal configurados (compromiso de herramientas de desarrollo).
* Impacto Potencial (Sector Gaming):
** Indisponibilidad de Servidores de Juegos: Ataques DDoS exitosos pueden dejar servidores de juegos populares (Team Fortress 2, Counter-Strike) inaccesibles para los jugadores durante horas o días.
** Pérdidas Económicas: Para empresas que dependen de ingresos por microtransacciones, suscripciones o publicidad en juegos online, la indisponibilidad del servidor se traduce directamente en pérdidas de ingresos.
** Daño Reputacional: La incapacidad de mantener servidores estables puede erosionar la confianza de la comunidad de jugadores y afectar la reputación de los desarrolladores y editores.
** Interrupción de Torneos y Eventos: Los servidores DDoS pueden interrumpir torneos de esports y eventos de juegos en vivo, causando pérdidas significativas para organizadores y patrocinadores.
* Impacto Potencial (Organizaciones con Jenkins Mal Configurado):
** Compromiso de Herramientas de CI/CD: Los atacantes pueden usar servidores Jenkins comprometidos como puntos de lanzamiento para ataques DDoS (convirtiéndolos en nodos de botnet), o pueden robar código fuente y credenciales.
** Consumo de Ancho de Banda y Recursos: Los servidores Jenkins comprometidos pueden convertirse en participantes activos de la botnet, consumiendo ancho de banda y recursos computacionales.
** Riesgo de Propagación: Un servidor Jenkins comprometido dentro de una red corporativa puede ser utilizado como punto de pivote para movimientos laterales hacia sistemas más críticos.
* Impacto en la Industria de Seguridad:
** Demostración de Riesgos de "Development Debt": Este incidente destaca cómo herramientas de desarrollo mal configuradas (deuda técnica de seguridad) pueden tener consecuencias más allá del entorno de desarrollo.
** Nuevas Técnicas de DDoS: El método <code>attack_dayz</code> específico para el motor Source Engine representa una técnica de ataque DDoS relativamente novedosa y dirigida a aplicaciones específicas.
* Ventaja para los Atacantes por Mala OPSEC: Aunque la campaña utiliza una única IP (<code>103.177.110.202</code>), lo que facilita el bloqueo, también indica que los atacantes pueden tener limitaciones de recursos. Las organizaciones deben bloquear esta IP proactivamente.

----

== Recomendaciones de Mitigación ==

# Securización de Servidores Jenkins (M1030, M1028):
#* Restringir el acceso al endpoint <code>scriptText</code>: Este endpoint debe estar protegido por autenticación robusta y solo accesible desde redes internas confiables, nunca expuesto directamente a internet.
#* Implementar control de acceso basado en roles (RBAC): Limitar qué usuarios y procesos pueden ejecutar scripts de Groovy en Jenkins.
#* Actualizar Jenkins a la última versión: Muchas vulnerabilidades conocidas en Jenkins han sido parcheadas; mantener el software actualizado es fundamental.
#* Deshabilitar el uso de scripts de Groovy si no es necesario: Si no se requiere funcionalidad de scripting, deshabilitarla para reducir la superficie de ataque.
# Bloqueo de Infraestructura Conocida (M1037):
#* Bloquear la IP <code>103.177.110.202</code> a nivel de firewall, proxy y soluciones de seguridad perimetral.
#* Bloquear el puerto TCP <code>5444</code> en firewalls de salida si no es utilizado por aplicaciones comerciales legítimas.
#* Implementar reglas de detección para alertar sobre conexiones salientes a esta IP o al puerto 5444.
# Monitoreo y Detección en Endpoints y Red (M1040):
#* Monitorear procesos en Linux con nombres <code>ksoftirqd/0</code> o <code>kworker</code> que no sean los legítimos del sistema (ej., verificando rutas de ejecución y hashes).
#* Monitorear la creación de archivos en directorios temporales (<code>%TEMP%</code> en Windows, <code>/tmp</code> en Linux) con nombres como <code>update.dat</code>, <code>win_sys.exe</code>, o <code>bot_x64.exe</code>.
#* Detectar apertura de puertos no estándar como TCP <code>5444</code> en sistemas que normalmente no los utilizan.
# Protección de la Industria del Gaming (para operadores de servidores Valve Source Engine) (M1037, M1040):
#* Implementar mitigaciones DDoS a nivel de aplicación: Configurar servidores de juegos para limitar la tasa de consultas Source Engine Query y filtrar tráfico malicioso.
#* Utilizar servicios de mitigación DDoS (Cloudflare, Akamai, AWS Shield) que puedan detectar y bloquear ataques de amplificación y consultas maliciosas.
#* Monitorear el tráfico hacia el puerto <code>27015</code> en busca de patrones anómalos de consultas.
# Concientización y Mejores Prácticas para Desarrolladores (M1017, M1028):
#* Educar a los equipos de DevOps sobre los riesgos de seguridad de exponer herramientas de CI/CD a internet sin la debida protección.
#* Realizar auditorías regulares de la configuración de servidores Jenkins y otras herramientas de desarrollo.
#* Implementar el principio de mínimo privilegio: Los servidores Jenkins no deben tener más permisos de red de los necesarios, y deben estar segmentados de la red de producción.

----

== Herramientas de Detección ==

* Honeypots (CloudyPots de Darktrace): La campaña fue detectada inicialmente por honeypots diseñados para emular servicios vulnerables y atraer actividad maliciosa.
* EDR / XDR: Soluciones como CrowdStrike, SentinelOne, o Microsoft Defender for Endpoint pueden detectar:
** Creación de archivos en directorios temporales con nombres sospechosos (<code>update.dat</code>, <code>win_sys.exe</code>, <code>bot_x64.exe</code>).
** Procesos renombrados que imitan procesos del sistema (<code>ksoftirqd/0</code>, <code>kworker</code>) pero se ejecutan desde ubicaciones anómalas.
** Apertura de puertos de escucha no estándar (TCP <code>5444</code>).
* NDR (Network Detection and Response): Herramientas como Darktrace, Vectra, o ExtraHop pueden detectar:
** Conexiones salientes a la IP <code>103.177.110.202</code>.
** Tráfico anómalo hacia el puerto <code>27015</code> (servidores de juegos) que coincida con patrones de consulta Source Engine Query.
** Protocolos de control DDoS.
* SIEM: Correlacionar logs de acceso a Jenkins, logs de firewall, y alertas de EDR/NDR para identificar patrones de ataque.
* CyberChef: Herramienta utilizada por los investigadores para decodificar y analizar el script de Groovy ofuscado.

----

== Referencias y Fuentes ==

* Ahmed, D. (2026, 1 de mayo). ''Hackers Use Jenkins Access to Deploy DDoS Botnet Against Gaming Servers''. Hackread.com. (Artículo proporcionado por el usuario).
* Darktrace. (2026). ''CloudyPots Honeypot Detection: Jenkins DDoS Botnet Campaign''. (Informe de investigación citado en el artículo).
* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-05-04
|1.0
|Fernando Vargas Hincapié
|Creación inicial de la entrada basada en el análisis de Darktrace sobre la campaña de botnet DDoS con Jenkins.
|}
----

== Indicadores de Compromiso (IOCs) ==
{| class="wikitable"
!Tipo
!Valor
|-
|IP Maliciosa (C2, Payload, Acceso)
|<code>103.177.110.202</code>
|-
|Proveedor de Alojamiento
|Webico (marca Tino, Ciudad Ho Chi Minh, Vietnam)
|-
|Endpoint Explotado
|<code>scriptText</code> (Jenkins)
|-
|Payload Windows
|<code>w.exe</code> → <code>update.dat</code> → <code>win_sys.exe</code>
|-
|Payload Linux
|<code>bot_x64.exe</code>
|-
|Ruta Windows
|<code>%TEMP%\update.dat</code>, <code>%TEMP%\win_sys.exe</code> (después del renombrado)
|-
|Ruta Linux
|<code>/tmp/bot_x64.exe</code>
|-
|Puerto C2 (Windows)
|TCP <code>5444</code>
|-
|Nombres de Procesos Suplantados (Linux)
|<code>ksoftirqd/0</code>, <code>kworker</code>
|-
|Variable de Entorno
|<code>dontKillMe</code>
|-
|Motor de Juego Objetivo
|Valve Source Engine
|-
|Puertos Objetivo (Juegos)
|<code>27015</code> (predeterminado de Valve Source Engine)
|-
|Puertos Objetivo (Ataques Secundarios)
|<code>53</code> (DNS), <code>123</code> (NTP)
|-
|Método de Ataque DDoS
|<code>attack_dayz</code> (Source Engine Query flood), <code>attack_special</code> (puertos específicos)
|-
|Juegos Afectados
|Team Fortress 2, Counter-Strike: Global Offensive (CS:GO), Counter-Strike 2, otros juegos basados en Source Engine
|-
|Fecha de Detección
|18 de marzo de 2026
|-
|Comportamiento Anómalo (Jenkins)
|Acceso al endpoint <code>scriptText</code> desde IP inusual
|-
|Comportamiento Anómalo (Windows)
|Creación de <code>update.dat</code> y <code>win_sys.exe</code> en <code>%TEMP%</code>; apertura del puerto TCP <code>5444</code>
|-
|Comportamiento Anómalo (Linux)
|Creación de <code>/tmp/bot_x64.exe</code>; procesos <code>ksoftirqd/0</code> o <code>kworker</code> con rutas anómalas
|-
|Comportamiento Anómalo (Red)
|Tráfico saliente a <code>103.177.110.202</code> o conectividad al puerto <code>5444</code>
|}
----

== Etiquetas / Categorías ==
<code>jenkins</code> <code>ddos-botnet</code> <code>gaming</code> <code>valve-source-engine</code> <code>scripttext</code> <code>groovy</code> <code>rce</code> <code>remote-code-execution</code> <code>darktrace</code> <code>cloudypots</code> <code>webico</code> <code>tino</code> <code>vietnam</code> <code>ho-chi-minh-city</code> <code>team-fortress-2</code> <code>counter-strike</code> <code>cs-go</code> <code>cs2</code> <code>attack-dayz</code> <code>source-engine-query</code> <code>ntp-amplification</code> <code>dns-amplification</code> <code>ksoftirqd</code> <code>kworker</code> <code>dontkillme</code> <code>bot-x64</code> <code>win-sys</code> <code>ciberwiki</code> <code>deeba-ahmed</code> <code>hackread</code> <code>jenkins-ddos</code> <code>botnet-campaign</code> <code>gaming-server-ddos</code>

[[Categoría:CAMPAÑAS|CAMPAÑAS]]