Telnet sigue abierto: los avisos de botnets IoT señalan siempre al mismo grupo

El Centro Nacional de Notificación de Seguridad de Redes e Información de China publicó en agosto de 2026 un aviso sobre cinco familias de botnets transfronterizas: Mirai, CondiBot, Gafgyt, TBot y SoftBot. El vector de entrada que describe no tiene nada de nuevo: fuerza bruta contra Telnet y SSH con credenciales de fábrica sin cambiar, más explotación de vulnerabilidades publicadas hace años. Lo llamativo no es lo que hace el malware, sino que en 2026 ese camino siga abierto.

La exposición que hace viable la fuerza bruta

La fuerza bruta contra credenciales por defecto necesita dos condiciones: que el servicio sea alcanzable y que nadie haya cambiado la contraseña. Sobre la primera hay datos públicos. ZoomEye indexa servicios accesibles desde internet, incluido Telnet en el puerto 23 y SSH en el 22. Una consulta por Telnet devuelve, por definición, un conjunto de hosts alcanzables, y ese conjunto es el vivero del que tiran las botnets.

El número bruto engaña. No todo Telnet abierto es un dispositivo con contraseña por defecto: hay honeypots desplegados a propósito para observar el escaneo, equipos de red con el servicio activo pero credenciales ya cambiadas y sistemas embebidos en laboratorios. La distribución geográfica refleja dónde están los proveedores de hosting, no dónde están las cámaras. Buena parte de los endpoints accesibles vive en redes de nube y alojamiento, no en redes domésticas o de sucursal. Y el banner de Telnet suele ser mínimo o inexistente, así que la consulta identifica el servicio, no el modelo del aparato.

Lo que sí establece la medición es que la puerta no se ha cerrado.

Por qué el grupo no se reduce

Los avisos de 2026 describen los mismos métodos que la versión de Mirai de 2016. Eso no es un fallo de detección, son tres condiciones estructurales. Los dispositivos sobreviven a su soporte: una cámara instalada en 2021 puede seguir funcionando en 2026 con firmware que no se ha tocado desde el primer día, y si el fabricante dejó de publicar actualizaciones, no hay parche que aplicar. La propiedad es difusa: quien instaló el aparato no es quien lo mantiene, y en organizaciones pequeñas puede no figurar en ningún inventario, así que nadie lee el aviso del fabricante ni actúa. Y la gestión remota es cómoda: Telnet y las interfaces HTTP sin autenticación se activan para facilitar la puesta en marcha y casi nadie las apaga después.

Las familias nuevas han cambiado lo que hacen tras infectar. Dysphoria, señalada en un aviso conjunto de CNCERT y QiAnXin en julio de 2026, usa servicios de nombres sobre blockchain para que su infraestructura de control sea más difícil de tumbar. La entrada, en cambio, sigue igual, porque sigue funcionando.

Qué se puede hacer con la medición

La medición sirve porque se puede repetir. Cualquiera puede consultar sus propios rangos y ver qué enseña hacia fuera. Eso descubre equipos olvidados, incluidos los que dejó un contratista o los que llegaron con una adquisición; confirma que una remediación funcionó, porque volver a lanzar la consulta después de cerrar Telnet o mover la gestión detrás del cortafuegos demuestra si el cambio se ve desde fuera; y produce una lista concreta de direcciones, servicio y banner sobre la que actuar: cambiar la credencial, desactivar el servicio, restringir el origen o sustituir el aparato.

Lo que la observación externa no responde es si la contraseña se cambió, si el firmware está al día o si el fabricante sigue dando soporte. Eso exige una respuesta interna. Para la población de los avisos de 2026 el arreglo no es una firma de detección nueva: es saber qué dispositivos están expuestos, si alguien los mantiene y quién responde por ellos.