JDY: la botnet que convierte tu IoT en una infraestructura de reconocimiento industrial patrocinada por Estados

Un nuevo informe de investigación acerca de una red encubierta bautizada como JDY vuelve a poner sobre la mesa un patrón que ya conocemos pero que está escalando: botnets compuestas por equipos SOHO e IoT que no sólo sirven para lanzar ataques, sino que actúan como una infraestructura de reconocimiento industrializada al servicio de operaciones patrocinadas por estados. Según Lumen Black Lotus Labs, JDY ha crecido de unas pocas centenas a más de 1.500 dispositivos comprometidos, y su función principal es descubrir, perfilar y mapear servicios expuestos a gran escala para alimentar pipelines de priorización de objetivos.

La arquitectura de JDY muestra dos rasgos preocupantes. Primero, la diversidad y geolocalización de los nodos —principalmente en EE. UU. y Brasil, pero también en Europa y Asia— convierte a la red en una forma efectiva de evadir controles basados en IP como geofencing y blocklists. Segundo, el control y la comunicación a través de TOR y servidores C2 permiten a los operadores coordinar escaneos dirigidos en función de la prioridad, lo que indica que la botnet no realiza barridos indiscriminados sino reconocimiento selectivo para explotación posterior. Puede consultarse la perspectiva técnica y contextual de Black Lotus Labs en su plataforma oficial para profundizar en el análisis.

Técnicamente, el modus operandi descrito por los investigadores es sobrio y eficiente: explotación de vulnerabilidades recién divulgadas en dispositivos de borde —por ejemplo la referencia pública a CVE-2026-35616— para desplegar un dropper que identifica la arquitectura del dispositivo y descarga el payload adecuado. El malware borra el instalador de disco tras la ejecución, fingerprintea el host, recibe órdenes de escaneo y devuelve metadatos útiles como certificados TLS y respuestas de servicios. El objetivo inmediato es la detección sistemática de superficies vulnerables, no la explotación inmediata, aunque esos resultados alimentan ataques posteriores.

Desde el punto de vista defensivo, esto cambia la prioridad: bloquear direcciones IP ya no basta. La dispersión de tráfico legítimo desde routers domésticos o cámaras convierte a JDY en tráfico difícil de distinguir del normal. Además, la capacidad del motor de escaneo para cambiar de técnica según privilegios locales —usar sockets crudos para SYN scan si tiene privilegios root, o conexiones TCP/TLS/UDP/ICMP en entornos menos privilegiados— hace que las firmas estáticas pierdan eficacia. La conclusión es clara: las defensas deben centrarse en la higiene de dispositivos, segmentación de red y monitoreo de comportamiento, no solo en listas negras.

Para usuarios domésticos y responsables de pequeñas oficinas, las recomendaciones prácticas siguen siendo contundentes: parchear y actualizar el firmware de routers, cámaras y dispositivos IoT tan pronto como el fabricante publique actualizaciones; cambiar credenciales por defecto; desactivar servicios de administración remota innecesarios; y colocar estos aparatos en redes separadas de los sistemas críticos. Guías oficiales de gestión de riesgos para IoT, como las publicadas por CISA, ofrecen pasos detallados para mitigar este tipo de amenazas y reducir la superficie de ataque https://www.cisa.gov/identifying-and-managing-iot-cybersecurity-risks.

En organizaciones medianas y grandes, la respuesta debe incluir detección proactiva y respuesta: implementar filtros de salida (egress) que limiten comunicaciones no autorizadas, establecer listas de permitidos para administración remota, monitorizar patrones de escaneo saliente y correlacionarlos con inteligencia de amenazas, y desplegar detección de anomalías en el tráfico TLS y en intentos masivos de sondeo de puertos. La coordinación con ISPs para bloquear o mitigar nodos comprometidos y el uso de feeds de IOC y telemetría son pasos necesarios para frenar el impacto operativo de redes como JDY.

En el nivel de política pública y mercado, JDY ilustra la necesidad de exigir ciclos de vida más largos y mecanismos de actualización segura por parte de los fabricantes de dispositivos de consumo, así como marcos regulatorios que incentiven la responsabilidad por seguridad en IoT. Las acciones puntuales de desmantelamiento de clusters ayudan, pero no eliminan una capacidad que se reconstituye y adapta; por eso, la resiliencia debe construirse antes en el diseño del dispositivo y en la infraestructura de red.

Para equipos de seguridad que rastrean la amenaza, es útil priorizar la búsqueda de artefactos característicos: scripts de arranque que eliminan el instalador, picos de conexiones salientes que recolectan certificados TLS, comunicaciones con nodos TOR y patrones de escaneo que se ajustan a privilegios locales. Complementar estas detecciones con la verificación de configuraciones de dispositivos en inventarios gestionados reducirá la probabilidad de que JDY u otras redes similares encuentren “puertas traseras” explotables.

Finalmente, la comunidad técnica puede profundizar en detalles de la vulnerabilidad mencionada a través de la base de datos del NVD para evaluar el alcance y aplicar mitigaciones concretas en sus despliegues: https://nvd.nist.gov/vuln/detail/CVE-2026-35616. La convergencia entre una red de bots diversa, control remoto por TOR y un propósito explícito de reconocimiento pone en evidencia que las amenazas contemporáneas ya no son solo volumétricas: son capacidades de inteligencia operativa reutilizables por actores con distintos objetivos, y la respuesta exige tanto parches inmediatos como cambios estructurales en cómo diseñamos, desplegamos y operamos el Internet de las Cosas.