💻 computer science

A Longitudinal Measurement Study of Log4Shell Exploitation from a Reactive Network Telescope

Este artículo presenta un estudio de medición longitudinal de la explotación de Log4Shell desde un telescopio de red indio entre diciembre de 2021 y octubre de 2025, revelando que la vulnerabilidad permanece activa años después de su divulgación con tácticas en evolución que incluyen la consolidación de infraestructura y un mayor ofuscamiento, destacando así la necesidad crítica de una vigilancia a largo plazo y geográficamente diversa para comprender plenamente el ciclo de vida de las vulnerabilidades de software críticas.

Autores originales: Aakash Singh, Kuldeep Singh Yadav, V. Anil Kumar, Samiran Ghosh, Pranita Baro, Basavala Bhanu Prasanth

Publicado 2026-05-19

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Aakash Singh, Kuldeep Singh Yadav, V. Anil Kumar, Samiran Ghosh, Pranita Baro, Basavala Bhanu Prasanth

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina internet como una ciudad masiva y bulliciosa. En esta ciudad, casi todos los edificios (aplicaciones de software) utilizan el mismo conjunto estándar de planos para sus guardias de seguridad y sistemas de registro. Uno de estos planos, llamado Log4j, tenía un defecto oculto en su diseño. Este defecto, conocido como Log4Shell, era como una puerta trasera secreta que permitía a cualquiera que conociera el código entrar directamente, saltarse las cerraduras y tomar el control del edificio.

Este documento es un informe de vigilancia de cuatro años sobre cómo los criminales intentaron utilizar esta puerta trasera. En lugar de solo observar los primeros días de caos (lo que hicieron otros estudios), los investigadores instalaron una "trampa" especial en la India y observaron lo que sucedió desde diciembre de 2021 hasta octubre de 2025.

Aquí está la historia de lo que encontraron, contada en términos sencillos:

1. La Preparación: La Trampa "Fantasma"

Los investigadores no construyeron un edificio falso para engañar a los hackers. En su lugar, construyeron un Telescopio de Red. Imagina esto como una calle oscura y vacía en medio de la ciudad donde nadie vive.

Cómo funciona: Cuando un hacker escanea la ciudad buscando puertas abiertas, eventualmente llama a una puerta en esta calle vacía.
El Truco: Por lo general, una calle vacía permanece en silencio. Pero este telescopio es "reactivo". Cuando alguien llama, dice educadamente: "¡Hola, estoy aquí!" y mantiene la conversación el tiempo suficiente para ver qué quiere hacer el hacker a continuación. Esto permitió a los investigadores captar las instrucciones reales de los hackers (la "carga útil") sin ejecutar realmente ningún software real que pudiera ser hackeado.

2. La Cronología: De una estampida a un francotirador

El estudio revela que la amenaza Log4Shell no desapareció simplemente después de que se rompiera la noticia. Evolucionó en tres fases distintas:

Fase 1: El Pánico (finales de 2021):
Cuando se reveló el defecto por primera vez, fue como una estampida. Hackers de todo el mundo (especialmente de EE. UU., Alemania y Argentina) comenzaron a correr descontrolados, llamando a cada puerta de la ciudad, esperando encontrar una abierta. Fue caótico, ruidoso y omnipresente.
Fase 2: El Cambio (2022–2023):
A medida que la gente comenzó a arreglar sus cerraduras (parchear el software), la estampida se ralentizó. Sin embargo, los hackers no se rindieron. Cambiaron de táctica. En lugar de correr descontrolados, comenzaron a utilizar equipos especializados.
- La Analogía: Imagina que la multitud de miles se reduce a solo unos pocos grupos muy organizados. Para 2023, casi todos los ataques provenían de un solo país (Polonia) y de un pequeño número de direcciones IP específicas. Pasó de un enfoque de "rociar y rezar" a un enfoque de "ataque quirúrgico".
Fase 3: La Persistencia (2024–2025):
Incluso años después, los ataques no cesaron. De hecho, se volvieron aún más concentrados. Para 2025, casi todo el escaneo provenía de Alemania, impulsado por una sola red. Los hackers se habían establecido en una rutina a largo plazo, utilizando las mismas pocas "bases" para seguir probando en busca de víctimas.

3. Las "Bases": Donde se Esconden los Hackers

Los investigadores también rastrearon a dónde enviaban los hackers sus instrucciones.

Primeros Días: Al principio, los hackers utilizaban muchos "centros de mando" (servidores) diferentes dispersos por todo el mundo (EE. UU., Europa, Asia).
Días Posteriores: Con el tiempo, estos centros de mando se consolidaron. Los hackers dejaron de usar cientos de servidores diferentes y comenzaron a depender de solo unos pocos muy estables y duraderos. Es como una banda criminal que solía alquilar un nuevo apartamento cada semana pero que finalmente compró una única sede permanente.

4. Los "Saludos Secretos": Ocultos a la Vista

Al principio, los hackers enviaban mensajes claros como "Abre la puerta". Pero a medida que los expertos en seguridad mejoraron en detectar estos mensajes, los hackers comenzaron a utilizar ofuscación (trucos de ocultamiento).

La Analogía: En lugar de escribir "JNDI" (el código de la puerta trasera), comenzaron a escribir cosas como "J-N-D-I" o utilizar símbolos extraños para romper la palabra. Es como un espía que cambia su acento o usa un disfraz para que el guardia de seguridad no lo reconozca. Los investigadores tuvieron que construir un decodificador especial para despojar estas capas y ver lo que los hackers decían realmente.

5. La Gran Lección

La lección más importante de esta vigilancia de cuatro años es que los defectos críticos del software no desaparecen simplemente.

Aunque el "error" fue corregido hace años, los atacantes siguieron regresando.
No se detuvieron porque el ciclo de noticias avanzara; simplemente se volvieron más inteligentes, más organizados y más persistentes.
El estudio muestra que para comprender verdaderamente una amenaza de seguridad, no puedes mirar solo las primeras semanas. Tienes que observarla durante años y tienes que examinarla desde diferentes partes del mundo (como la India), porque los patrones de ataque pueden parecer muy diferentes dependiendo de dónde te encuentres parado.

En resumen: Log4Shell fue una grieta masiva en los cimientos de internet. Aunque el pánico inicial fue ruidoso y caótico, la verdadera historia es una campaña silenciosa, persistente y en evolución por parte de hackers que se negaron a soltar, adaptando sus métodos durante cuatro años para seguir intentando entrar.

Resumen Técnico: Un Estudio Longitudinal de la Explotación de Log4Shell desde un Telescopio de Red Reactivo

Planteamiento del Problema
La divulgación de la vulnerabilidad Log4Shell (CVE-2021-44228) en diciembre de 2021 desencadenó una oleada global de escaneos y explotaciones. Aunque los estudios de medición iniciales proporcionaron información crítica sobre las consecuencias inmediatas de la divulgación, se vieron limitados por ventanas de observación cortas (típicamente de diciembre de 2021 a febrero de 2022) y un alcance geográfico restringido, centrándose principalmente en puntos de vista europeos y norteamericanos. En consecuencia, la evolución a largo plazo del comportamiento de explotación, las variaciones regionales en las estrategias de los atacantes y la persistencia de la actividad de amenazas más allá de la fase inicial del brote permanecieron insuficientemente comprendidas. Existía la necesidad de un estudio longitudinal capaz de observar el ciclo de vida completo de la explotación de la vulnerabilidad, incluidos los cambios en la amplitud del escaneo, la reutilización de infraestructura y la ofuscación de cargas útiles a lo largo de varios años.

Metodología
Este estudio aprovecha un telescopio de red reactivo (NT) desplegado en la India por el CSIR-4PI (Programa de Investigación y Observación de Ciberseguridad). A diferencia de los telescopios pasivos que solo capturan tráfico de fondo no solicitado, o de los honeypots que requieren una emulación compleja de servicios, este sistema cierra la brecha al preservar el punto de vista de la red oscura mientras participa en interacciones mínimas y conformes al protocolo.

Infraestructura: El telescopio cubre un bloque IPv4 /24 (209 direcciones IP enrutables) sin servicios alojados, exponiendo todo el espacio de puertos TCP (0–65535).
Mecanismo Reactivo: Al recibir un TCP SYN, el sistema responde con un SYN-ACK. Crucialmente, mantiene el estado durante un intervalo fijo ( $\Delta t = 5$ segundos), reconociendo segmentos TCP subsiguientes para permitir la captura de cargas útiles de la capa de aplicación sin emular servicios específicos.
Recopilación de Datos: El estudio abarca desde el 1 de diciembre de 2021 hasta el 31 de octubre de 2025. Captura aproximadamente 7 millones de conexiones TCP diariamente.
Pipeline de Procesamiento: Se implementó un pipeline estructurado para:
1. Reensamblaje de Flujos TCP: Reconstrucción de flujos de bytes contiguos de la capa de aplicación a partir de capturas de paquetes.
2. Normalización de Cargas Útiles: Un proceso de decodificación multicapa para revertir técnicas de ofuscación, incluyendo codificación URL, escapes Unicode/hexadecimales, envoltura Base64 y fragmentación sintáctica específica de Log4j (por ejemplo, j-n-d-i).
3. Detección de Firmas: Un conjunto jerárquico de firmas identifica búsquedas directas de JNDI, variantes ofuscadas e indicadores genéricos de LDAP/URI.
4. Clasificación: Las cargas útiles se categorizan en tipos funcionales: rce_downloader, callback, dns_scan y jndi_probe.

Contribuciones Clave

Alcance Longitudinal: El artículo presenta la primera medición de múltiples años de la actividad de Log4Shell (casi cuatro años), superando la fase inicial del brote para analizar la dinámica de explotación sostenida.
Perspectiva Regional: Al utilizar un punto de vista en la India, el estudio proporciona una visión distinta de la dinámica del ecosistema de Internet de Asia Meridional, contrastando con estudios anteriores dominados por datos de EE. UU. y Europa.
Análisis de Infraestructura: El trabajo ofrece un análisis en profundidad de la infraestructura de retrollamada (callback) de backend, rastreando la distribución geográfica, la concentración y los patrones de reutilización de las redes de escáner y servidor a lo largo del tiempo.
Evolución de la Carga Útil: El estudio detalla la transición del escaneo oportunista a la exploración adaptativa, documentando el aumento de la sofisticación en la ofuscación de cargas útiles y los cambios en el uso de protocolos y puertos.

Resultados Clave

Persistencia y Concentración: La explotación de Log4Shell persistió durante años después de la divulgación. Si bien el escaneo inicial a finales de 2021 fue geográficamente diverso (principales contribuyentes: EE. UU., Alemania, Argentina, China), la actividad se volvió cada vez más concentrada en años posteriores. Para 2023, Polonia representó el 95,2% del tráfico; para 2025, Alemania representó el 98,7%. Este cambio indica un paso del escaneo distribuido a una infraestructura centralizada y persistente.
Consolidación de la Infraestructura de Retrollamada: Similar a los orígenes del escaneo, la infraestructura de servidores de retrollamada pasó de un ecosistema diverso en 2021 (Alemania, EE. UU., Países Bajos, Ucrania) a una centralización extrema. Para 2025, el 90% de la infraestructura de retrollamada estaba alojada en Hong Kong, impulsada por solo dos puntos finales dentro de un único Sistema Autónomo (ASN).
Ofuscación de Cargas Útiles: Hubo una transición clara desde búsquedas directas de JNDI (aproximadamente el 72% de las cargas útiles a finales de 2021) hacia variantes fuertemente ofuscadas. Los atacantes emplearon cada vez más la fragmentación de caracteres, la sustitución de delimitadores y la codificación multicapa para evadir la detección basada en firmas.
Cambios en Protocolos y Puertos: Si bien el tráfico inicial apuntaba a puertos HTTP estándar (80, 8080), años posteriores mostraron un cambio hacia puertos HTTP alternativos (8081–8085), comúnmente utilizados por servidores de aplicaciones web e interfaces administrativas. LDAP siguió siendo el protocolo dominante para las retrollamadas (>90% desde 2022 en adelante).
Patrones Temporales: La intensidad de los ataques alcanzó su punto máximo en 2023 y 2025. El análisis intraanual reveló que la mayoría de los ataques (aproximadamente el 80%) ocurren entre marzo y junio, con una disminución brusca después de julio.
Clasificación de Cargas Útiles: La gran mayoría (aproximadamente el 93%) de las cargas útiles observadas contenía lógica de ejecución de comandos o descargadores (rce_downloader), lo que indica que la mayoría de la actividad fue impulsada por una explotación activa en lugar de un mero reconocimiento.

Significado y Afirmaciones
El artículo afirma que Log4Shell sigue siendo una amenaza significativa y activa mucho más allá de su período inicial de divulgación, desafiando la suposición de que las vulnerabilidades críticas se neutralizan una vez que están disponibles los parches. El estudio subraya que el ciclo de vida de tales vulnerabilidades implica una transición desde el escaneo masivo oportunista hacia campañas sostenidas y adaptativas impulsadas por infraestructuras recurrentes de escáner y retrollamada.

Los autores enfatizan el valor de la medición geográficamente diversa y a largo plazo para comprender plenamente la dinámica de explotación. Argumentan que la persistencia de Log4Shell destaca los riesgos sistémicos que plantean las bibliotecas de terceros ampliamente adoptadas y los desafíos de la gestión de dependencias. Los hallazgos sugieren que los mecanismos de defensa deben evolucionar desde la aplicación reactiva de parches hacia la supervisión continua y a largo plazo y la gestión proactiva del inventario de dependencias para mitigar los riesgos de las vulnerabilidades de software críticas.

1. La Preparación: La Trampa "Fantasma"

2. La Cronología: De una estampida a un francotirador

3. Las "Bases": Donde se Esconden los Hackers

4. Los "Saludos Secretos": Ocultos a la Vista

5. La Gran Lección

Más como este