‘Gayfemboy’ malware: la botnet que amenaza redes desactualizadas

¿Qué es Gayfemboy y por qué está dando tanto de qué hablar?

Detrás del nombre provocador se esconde una botnet basada en Mirai. Esta variante va más allá del original. Añade funciones modernas, mayor persistencia y campañas mejor dirigidas.

El malware se infiltra en routers y dispositivos de red. Lo hace explotando fallos de seguridad ya conocidos. Aunque muchos de estos fallos tienen parche, siguen presentes en miles de sistemas mal gestionados.

Una vez instalado, el malware lanza ataques DDoS, mina criptomonedas y actúa como proxy. También permanece activo durante semanas. Para lograrlo, cambia su nombre, se duerme en entornos de análisis y se comunica con dominios rotatorios.

Las campañas de Gayfemboy se han detectado en al menos 12 países. Algunos de ellos son Brasil, México, Estados Unidos, Alemania o Francia. Además, han afectado sectores como telecomunicaciones, industria, tecnología y medios de comunicación.

¿Es una amenaza para infraestructuras en España?

Por ahora, no hay campañas confirmadas en España. Sin embargo, muchos de los dispositivos afectados están presentes en redes nacionales. Esto incluye pymes, operadoras locales y redes mal segmentadas.

Si trabajas con equipos Cisco, TP-Link, DrayTek o Raisecom, y no tienes actualizaciones ni filtros activos, podrías estar expuesto.

Cómo saber si estás en peligro

La forma más directa de saber si estás en riesgo es revisar tu red. ¿Usas modelos como TP-Link AX21 o Cisco ISE? ¿Tienes firmware sin actualizar? ¿Algún equipo se comunica con dominios sospechosos? Si la respuesta es sí, actúa.

Empieza por auditar tus dispositivos. Luego aplica parches, limita accesos y revisa los logs. No basta con confiar en que “nunca ha pasado nada”. Prevenir siempre es más barato que recuperar.

Guía rápida de prevención contra el malware ‘Gayfemboy’

1. Dispositivos afectados: DrayTek Vigor, TP-Link AX21, Raisecom MSG y Cisco ISE.
2. Dominios usados: cross-compiling.org, furry-femboys.top, i-kiss-boys.com, twinkfinder.nl, 3gipcam.com.
3. IPs asociadas: 87.121.84.34, 220.158.234.135, 141.11.62.222, 78.31.250.15, 5.182.204.251.

️Cómo protegerte de forma efectiva ante ‘Gayfemboy’

Este malware no es especialmente sofisticado. Pero es eficaz. Lo que lo hace peligroso es la frecuencia con la que encuentra redes sin actualizar ni vigilar.

En Nallam ayudamos a las organizaciones a reforzar su seguridad antes de que surjan los problemas. Nuestro enfoque combina auditorías, test de intrusión, SIEM gestionado y respuesta a ciberincidentes.

No esperes al primer aviso. Contáctanos o consulta nuestros servicios de ciberseguridad. Podemos ayudarte a cerrar esa brecha antes de que la aprovechen.