Pablo Seoane · Pentester & Security Researcher

Informe Semanal de Threat Intelligence — Honeypot T-Pot (2–9 agosto 2026)

Mon, 10 Aug 2026 00:00:00 +0000

Quinto informe semanal del honeypot T-Pot, período 2–9 de agosto de 2026. El volumen sube a ~2.814.000 eventos. El botnet residencial de ConPot alcanza su tercera semana consecutiva con alcance ya global (NTT DOCOMO, Wind Tre, Bouygues Telecom suman a los ya conocidos Comcast, AT&T, Charter). RDPHoneypot casi iguala su máximo histórico impulsado por un nuevo actor: Datacamp Limited. En Cowrie aparece por primera vez una oleada de credenciales temáticas de criptomonedas y una nueva familia de malware nombrada iran. Y la campaña de Adbhoney que seguimos desde el primer informe —110→228→287→102 descargas— se cierra definitivamente.

Período analizado: 2 – 9 de agosto de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente a internet Clasificación: Uso en portfolio / TLP:CLEAR Informes anteriores: 7–11 jul · 12–18 jul · 19–25 jul · 26 jul–2 ago

Informe Semanal de Threat Intelligence — Honeypot T-Pot (26 jul – 2 ago 2026)

Mon, 03 Aug 2026 00:00:00 +0000

Cuarto informe semanal del honeypot T-Pot, período 26 de julio – 2 de agosto de 2026. Con cuatro semanas de datos acumuladas, los patrones dejan de ser anecdóticos y se convierten en tendencias: el botnet SNMP residencial de ConPot se confirma por segunda semana consecutiva (Comcast, AT&T, Verizon, Charter sin un solo VPS en el top 10), la IP 91.199.133.133 catalogada en ThreatFox como C2 de Mirai Katana reaparece sirviendo payloads en Cowrie, Redtail añade arquitectura RISC-V, y la campaña de fuerza bruta contra software ERP turco en Dionaea se confirma con una segunda semana de datos consistentes.

Período analizado: 26 de julio – 2 de agosto de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR Informes anteriores: 7–11 jul · 12–18 jul · 19–25 jul

Informe Semanal de Threat Intelligence — Honeypot T-Pot (19–25 julio 2026)

Sun, 26 Jul 2026 00:00:00 +0000

Tercer informe semanal del honeypot T-Pot, período 19–25 de julio de 2026. El volumen total baja a ~1.820.000 eventos (la mitad que la semana anterior), pero el dato relevante no es el total sino la composición: ConPot se dispara x27 con origen en ISPs residenciales (Comcast, AT&T, Virgin Media, Free SAS) — la firma de un botnet de routers domésticos atacando SNMP, un actor cualitativamente distinto a todo lo visto hasta ahora. Mientras tanto, Flyservers S.A. colapsa en RDP, el mismo payload de Adbhoney lleva tres semanas creciendo, y Dionaea detecta fuerza bruta dirigida específicamente a software de contabilidad turco sobre MSSQL.

Período analizado: 19 – 25 de julio de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR Informes anteriores: semana 7–11 jul · semana 12–18 jul

Informe Semanal de Threat Intelligence — Honeypot T-Pot (12–18 julio 2026)

Sun, 19 Jul 2026 00:00:00 +0000

Segundo informe semanal del honeypot T-Pot, período 12–18 de julio de 2026. El volumen total se dispara a ~3.213.000 eventos (x3,2 respecto a la semana anterior), pero el crecimiento no es homogéneo: está casi enteramente explicado por dos sensores — RDPHoneypot x20,7 con Flyservers S.A. como origen dominante, y Sentrypeer x9,3 con un cambio de objetivo hacia numeración del Reino Unido. Se confirman además actores recurrentes en múltiples sensores y un nuevo loader compilado para arquitecturas poco habituales (loongarch64, m68k).

Período analizado: 12 – 18 de julio de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR Informe anterior: semana del 7–11 de julio de 2026

HTB Walkthrough: GoodGames

Thu, 16 Jul 2026 00:00:00 +0000

Resolución de GoodGames en Hack The Box. Máquina de dificultad Easy con sistema operativo Linux. La cadena empieza con una SQL Injection en el formulario de login que permite tanto el bypass de autenticación como el volcado de la base de datos. Un hash MD5 crackeado da acceso a un panel de administración Flask interno donde el campo de nombre de usuario es vulnerable a SSTI con Jinja2, otorgando RCE como root dentro de un contenedor Docker. La salida al host real combina reutilización de credenciales vía SSH con un escape de contenedor clásico: el directorio home del usuario está montado como volumen, y sin user namespace remapping el root del contenedor puede plantar un SUID en bash que resulta efectivo en el host.

HackTheBox Linux Easy

HTB Walkthrough: Sau

Mon, 13 Jul 2026 00:00:00 +0000

Resolución de Sau en Hack The Box. Máquina de dificultad Easy con sistema operativo Linux. Un SSRF en Request Baskets v1.2.1 (CVE-2023-27163) nos permite pivotar hacia Maltrail v0.53, un servicio de detección de tráfico malicioso accesible solo desde localhost. Maltrail tiene una RCE no autenticada en su endpoint de login que nos da shell como puma. La escalada a root explota el CVE-2023-26604: systemctl status ejecutado con sudo invoca less como pager heredando privilegios de root, del que escapamos con !/bin/bash.

HackTheBox Linux Easy

Informe Semanal de Threat Intelligence — Honeypot T-Pot (7–11 julio 2026)

Sun, 12 Jul 2026 00:00:00 +0000

Primer informe semanal del honeypot T-Pot. Durante la semana del 7 al 11 de julio de 2026 se registraron aproximadamente 1.011.000 eventos de ataque distribuidos en 10 sensores activos. Lo más destacado: malware Redtail multi-arquitectura capturado en Cowrie, una cadena de infección Android completa en Adbhoney (Rebirth → minero UFO → botnet Trinity), escaneo activo de servicios de IA expuestos (Ollama, Gradio, Streamlit) y sondeo del protocolo IEC-104 usado en subestaciones eléctricas europeas.

Período analizado: 7 – 11 de julio de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR

Capturé una muestra del botnet Rebirth en mi honeypot: esto es lo que até cabos

Thu, 09 Jul 2026 00:00:00 +0000

Revisando el tráfico de mi honeypot T-Pot encontré algo más interesante que el típico intento de fuerza bruta SSH: una cadena de infección completa, capturada en vivo, que resultó ser una variante del botnet Rebirth, de la familia Mirai/Gafgyt. Este post cuenta qué capturé exactamente, cómo até cabos para identificarlo, y qué dice la comunidad de seguridad sobre esta familia — dejando claro en cada parte qué es observación directa mía y qué es investigación de terceros.

Lo que Capturé (esto sí es mío)
#

El honeypot que registró esto fue Adbhoney, uno de los sensores de T-Pot que simula el protocolo ADB (Android Debug Bridge) — el sistema de depuración remota de Android, que expuesto a internet sin autenticación es una puerta de entrada trivial para bots automatizados.

Monté un honeypot y voy a contar cada semana lo que veo

Wed, 08 Jul 2026 00:00:00 +0000

Voy a exponer un servidor a internet a propósito para que lo ataquen — y luego contarlo aquí, cada semana. Sin simulaciones ni datos de laboratorio: tráfico malicioso real, de internet real, contra un servidor que no hace nada más que esperar a que alguien intente entrar.

Qué es esto
#

Este blog documenta lo que un honeypot — un sistema señuelo diseñado para parecer vulnerable y atraer ataques — detecta en tiempo real, semana a semana.

HTB Walkthrough: CCTV

Mon, 22 Jun 2026 00:00:00 +0000

Resolución de CCTV en Hack The Box. Máquina de dificultad Medium con sistema operativo Linux. ZoneMinder expuesto con credenciales por defecto es vulnerable al CVE-2024-51482, una SQL Injection ciega que nos permite extraer hashes bcrypt y obtener acceso SSH. Una vez dentro, motionEye corre como root con su clave de firma de API expuesta en un fichero de configuración legible — combinación que explota el CVE-2025-60787 para inyectar un comando en el nombre de fichero de captura y obtener SUID en /bin/bash.

HackTheBox Linux Medium

HTB Walkthrough: Jerry

Sat, 13 Jun 2026 00:00:00 +0000

Resolución de Jerry en Hack The Box. Máquina de dificultad Easy con sistema operativo Windows Server 2012 R2. Apache Tomcat 7.0.88 expuesto con credenciales por defecto en el Manager. Las usamos para desplegar un WAR malicioso que nos entrega ejecución de código remota directamente como NT AUTHORITY\SYSTEM — sin escalada de privilegios necesaria.

HackTheBox Windows Easy

HTB Walkthrough: NetMon

Sat, 13 Jun 2026 00:00:00 +0000

Resolución de NetMon en Hack The Box. Máquina de dificultad Easy con sistema operativo Windows Server 2016. El FTP anónimo expone el sistema de archivos raíz de Windows, lo que nos permite leer un backup de configuración de PRTG con credenciales en texto claro. Con acceso al panel de administración explotamos CVE-2018-9276, una inyección de comandos en el sistema de notificaciones de PRTG que ejecuta código como NT AUTHORITY\SYSTEM.

HackTheBox Windows Easy

HTB Walkthrough: Devel

Fri, 12 Jun 2026 00:00:00 +0000

Resolución de Devel en Hack The Box. Máquina de dificultad Easy con sistema operativo Windows 7 x86. El FTP anónimo comparte directorio raíz con el webroot de IIS, lo que nos permite subir una webshell ASPX y obtener ejecución remota de código. Escalamos a NT AUTHORITY\SYSTEM explotando MS10-015 (KiTrap0D), un fallo en el kernel x86 de Windows.

HackTheBox Windows Easy

HTB Walkthrough: Facts

Tue, 09 Jun 2026 00:00:00 +0000

Resolución de Facts en Hack The Box. Máquina de dificultad Easy con sistema operativo Linux (Ubuntu 25.04). Explotamos un Mass Assignment en Camaleon CMS para escalar nuestro rol a administrador sin conocer ninguna contraseña, aprovechamos un Path Traversal en el uploader de AWS para leer archivos del sistema y extraer una clave SSH cifrada, crackeamos la passphrase con John the Ripper, y escalamos a root abusando de permisos sudo NOPASSWD sobre facter con un custom fact Ruby malicioso.

HackTheBox Linux Easy

HTB Walkthrough: Kobold

Mon, 01 Jun 2026 00:00:00 +0000

Resolución de Kobold en Hack The Box. Máquina de dificultad Easy con sistema operativo Linux. La explotación pasa por CVE-2026-23744, una RCE sin autenticación en MCPJam Inspector 1.4.2: el endpoint /api/mcp/connect pasa el campo command directamente a child_process.spawn() sin ninguna validación. La escalada a root explota que el usuario ben pertenece al grupo operator, que tiene permisos sobre el socket Docker — accesible mediante sg docker sin necesidad de logout. Una vez con acceso al daemon Docker, montamos el filesystem del host y obtenemos root con chroot.

HackTheBox Linux Easy

HTB Walkthrough: Cap

Tue, 14 Apr 2026 00:00:00 +0000

Resolución de Cap en Hack The Box. Máquina de dificultad Easy con sistema operativo Linux (Ubuntu 20.04 LTS). Explotamos un IDOR en un endpoint de descarga de capturas de red para obtener credenciales FTP en texto claro, accedemos por SSH reutilizando la contraseña, y escalamos a root aprovechando la capability cap_setuid asignada al binario de Python 3.8.

HackTheBox Linux Easy

HTB Walkthrough: Principal

Tue, 14 Apr 2026 00:00:00 +0000

Resolución paso a paso de Principal en Hack The Box. Máquina de dificultad Medium con sistema operativo Linux (Ubuntu 24.04 LTS). Encadenamos un bypass de autenticación JWT mediante CVE-2026-29000, extracción de credenciales desde un dashboard administrativo y escalada de privilegios a root forjando un certificado SSH con la CA privada del servidor.

HackTheBox Linux Medium

HTB Walkthrough: DevArea

Sun, 29 Mar 2026 00:00:00 +0000

Resolución de DevArea en Hack The Box. Máquina de dificultad Medium con sistema operativo Linux Ubuntu. Un servicio Java SOAP descargado via FTP anónimo resulta ser Apache CXF 3.2.14, vulnerable al CVE-2022-46364 (XOP Include LFI). Usamos el fallo para leer credenciales de Hoverfly desde la configuración de systemd y obtenemos RCE mediante el sistema de Middleware. La escalada a root aprovecha un PATH Hijacking en un script ejecutado con sudo.

HackTheBox Linux Medium

HTB Walkthrough: Blue

Sat, 28 Mar 2026 00:00:00 +0000

Resolución de Blue en Hack The Box. Máquina de dificultad Easy con sistema operativo Windows 7 SP1. El vector es el infame exploit EternalBlue (MS17-010), una vulnerabilidad en SMBv1 que compromete el kernel de Windows y entrega acceso directo como NT AUTHORITY\SYSTEM sin necesidad de credenciales.

HackTheBox Windows Easy

HTB Walkthrough: Lame

Sat, 28 Mar 2026 00:00:00 +0000

Resolución de Lame, una de las máquinas más clásicas de Hack The Box. Dificultad Easy con sistema operativo Linux. El vector principal es una vulnerabilidad de ejecución remota de código en Samba 3.0.20 (CVE-2007-2447) que, por la forma en que Samba procesa nombres de usuario, ejecuta comandos de shell arbitrarios con los privilegios del servicio — en este caso, root.

HackTheBox Linux Easy

HTB Walkthrough: WingData

Sat, 28 Mar 2026 00:00:00 +0000

Resolución de WingData en Hack The Box. Máquina de dificultad Easy con sistema operativo Linux. RCE mediante CVE-2025-47812, un bypass de autenticación por byte nulo en Wing FTP Server que otorga acceso al panel de administración y ejecución de código remota. Tras crackear credenciales de usuario con hashcat (SHA-256 con salt), escalamos a root explotando un bypass de PATH_MAX en el módulo tarfile de Python ejecutado con privilegios sudo.

HackTheBox Linux Easy

Sobre Mí

Tue, 24 Mar 2026 00:00:00 +0000

Ubicado en Sada, Galicia. Mi camino en tecnología empezó desde la base — redes, sistemas y programación. Hoy toda esa base la enfoco en lo que realmente me apasiona: la ciberseguridad ofensiva.

🎯 Perfil Profesional
#

Apasionado del Hacking Ético y el Pentesting. Estudié Ingeniería Robótica, pero fue durante ese camino cuando descubrí la ciberseguridad ofensiva y me enganché — así que decidí orientar toda mi carrera hacia ese campo. Actualmente me preparo para la certificación CPTS (Certified Penetration Testing Specialist) de Hack The Box.

Pablo Seoane · Pentester & Security Researcher

Informe Semanal de Threat Intelligence — Honeypot T-Pot (2–9 agosto 2026)

Informe Semanal de Threat Intelligence — Honeypot T-Pot (26 jul – 2 ago 2026)

Informe Semanal de Threat Intelligence — Honeypot T-Pot (19–25 julio 2026)

Informe Semanal de Threat Intelligence — Honeypot T-Pot (12–18 julio 2026)

HTB Walkthrough: GoodGames

HTB Walkthrough: Sau

Informe Semanal de Threat Intelligence — Honeypot T-Pot (7–11 julio 2026)

Capturé una muestra del botnet Rebirth en mi honeypot: esto es lo que até cabos

Lo que Capturé (esto sí es mío) #

Monté un honeypot y voy a contar cada semana lo que veo

Qué es esto #

HTB Walkthrough: CCTV

HTB Walkthrough: Jerry

HTB Walkthrough: NetMon

HTB Walkthrough: Devel

HTB Walkthrough: Facts

HTB Walkthrough: Kobold

HTB Walkthrough: Cap

HTB Walkthrough: Principal

HTB Walkthrough: DevArea

HTB Walkthrough: Blue

HTB Walkthrough: Lame

HTB Walkthrough: WingData

Sobre Mí

🎯 Perfil Profesional #

Lo que Capturé (esto sí es mío)
#

Qué es esto
#

🎯 Perfil Profesional
#