> ## Content Index
> Fetch the complete content index at: https://securetia.mymagic.page/llms.txt
> Use this file to discover other available public pages before exploring further.

# Análisis de Tácticas y Comandos en Honeypots Linux
- URL: https://securetia.mymagic.page/analisis-de-tacticas-y-comandos-en-honeypots-linux/
- Published: 2026-10-07T15:09:22.000Z
- Updated: 2026-11-14T01:01:56.000Z
- Description: Observar el comportamiento de los cibercriminales en tiempo real nos ofrece una gran ventaja en el mundo actual.
- Author: Fabian Martinez Portantier
- Tags: Blog

Observar el comportamiento de los **cibercriminales** en tiempo real nos ofrece una gran ventaja en el mundo actual. Mediante el despliegue de **honeypots** SSH interactivos como Cowrie, que nos permite capturar y registrar cada movimiento, comando y archivo descargado que los intrusos intentan ejecutar dentro del mismo.

Luego de implementar un honeypot con Cowrie y dejarlo público a la red **analizamos las diferentes tácticas que utilizan los cibercriminales en tiempo real** al ingresar en un servidor. Lo dividimos en diferentes técnicas según el objetivo:

**1\. Reconocimiento de Recursos**

En esta etapa los cibercriminales **determinan las capacidades que tiene el sistema comprometido**. Buscando responder las siguientes preguntas: *“¿El servidor sirve para minería, ataques masivos DDoS o almacenamiento?”*.

![](https://securetia.mymagic.page/content/images/2026/11/imagen-1.png)

Esto lo logran **mediante la ejecución de diferentes comandos** como: “*cat /proc/cpuinfo | grep name*”, “*uname*” (Sondeo de procesador y arquitectura), “*free -m*”, “*df -h*” (Evaluación de memoria y almacenamiento), entre otros.

**2\. Revisión de integridad**

Los **cibercriminales avanzados verifican el entorno que se encuentran**. Analizando si se encuentran en un sandbox, servidor de monitoreo por herramientas de seguridad, entre otros.

![](https://securetia.mymagic.page/content/images/2026/11/imagen-2.png)

Se suelen **verificar los binarios** del sistema con secuencias de “*which ls*”, “*ls -lh* *$(which ls)*” para inspeccionar la ruta absoluta, permisos, propietario y tamaño del ejecutable. Desde la devolución de estos deducen si se encuentran en un escenario simulado o un servidor real y que pasos a seguir a continuación.

**3\. Persistencia**

Una vez validado el entorno, **la prioridad pasa a ser el control total permanente y bloquear el acceso** a los administradores legítimos.

![](https://securetia.mymagic.page/content/images/2026/11/imagen-3.png)

Mediante el secuestro del directorio SSH con “*cd \~ && rm -rf .ssh && mkdir .ssh && echo ssh-rsa…*”, al eliminar la carpeta original de .ssh y recrearla con sus propias credenciales se asegura de conseguir su objetivo. Otros comportamientos normales son **inyectar claves directamente en authorized\_keys** (*/root/.ssh/authorized\_keys*) para obtener accesos de respaldo o **forzar el cambio de contraseñas** con “*echo root:contraseña\_nueva | chpasswd | bash*” logrando el control del usuario root.

[![](https://securetia.mymagic.page/content/images/2026/11/imagen-4.png)](https://substackcdn.com/image/fetch/$s%5F!CdfR!,f%5Fauto,q%5Fauto:good,fl%5Fprogressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F27ac510f-6f8d-4422-9a0d-df82dc6210f3%5F1776x796.png?ref=securetia.mymagic.page)

**4\. Ejecutables**

Una vez el atacante logra los pasos anteriores se procede a la fase donde se **busca eliminar a la “competencia”**, es decir, busca sacar al resto de cibercriminales que hayan logrado infectar este servidor mediante “*rm -rf /tmp/secure.sh; pkill -9 auth.sh; echo > /etc/hosts.deny*” eliminando scripts y procesos de otros atacantes. Preparando el camino para la **transferencia cifrada de binarios maliciosos** con “*scp*”, alojandose directamente en “*/bin*” bajo nombres aleatorios camuflándose con los ejecutables legítimos del sistema operativos dificultando su detección.

**Conclusión:**

El análisis detallado de comandos encontrados en tiempo real en sensores como Cowrie nos demuestra que las intrusiones actuales siguen un flujo de trabajo altamente estructurado y automatizado. Permite a los equipos de soc y de seguridad diseñar y trabajar con reglas de detección basadas en los ataques reales, mejorando la prevención y la infraestructura contra cibercriminales.

**Artículo escrito por:** Nicolas Vallejos