Inteligencia de amenazas avanzada

Kinryū Labs

Somos un grupo de investigación que encuentra vulnerabilidades en sistemas espaciales, opera redes de honeypots para observar a los atacantes en su entorno real y produce inteligencia de amenazas cibernéticas. Reportamos lo que encontramos a las organizaciones afectadas y publicamos lo que podemos, una vez que está listo y autorizado para su divulgación.

Leer nuestros informes Sobre el grupo Portal

Lo hacemos por amor al oficio.

Últimos informes

Ver todos →

  • Elasticsearch expuesto: dentro de la economía del borrado con rescate

    Kinryū Labs censó 17,043 hosts de Elasticsearch expuestos a internet y descubrió que un cascarón vaciado con una nota de rescate dentro es el estado más común de un clúster expuesto: 5,073 de ellos. Rastrear cada monedero anunciado en las notas arroja cinco actores, once pagos y unos $5,553 de ingresos totales, y demuestra que la promesa de devolver los datos borrados carece de respaldo en la evidencia.

    elasticsearch · ransomware · extortion · data-exposure · on-chain-analysis · bitcoin

  • Threat teardown

    godhive: A Novel Rust Crypto-Stealer and Miner Framework

    Kinryū Labs analysed godhive, a novel and undocumented Rust offensive framework caught abusing an exposed Docker API on our honeypot network. It mines Monero, drains cryptocurrency wallets across major exchanges and more than eight blockchains, spreads as a worm, and hides behind a command channel built to survive takedown. We assess with high confidence that it is purpose-built crimeware, and that it was deployed by a single developer field-testing their own tool from a consumer mobile connection.

    malware · cryptojacking · crypto-stealer · rust · docker · worm

  • Threat teardown

    Inside a Gaming DDoS-for-Hire Operation

    Kinryū Labs assesses with high confidence that this is a commercial gaming DDoS-for-hire operation running on a shared botnet builder kit. The same Go codebase is compiled by different operators with their own C2 servers and attack loadouts; the fleet analysed here fronts a self-serve, account-gated for-hire API and a live bot inventory of roughly 28 to 32 devices, dispatching customer attack orders against gaming and voice infrastructure. Its raw-TCP command channel is unauthenticated while bot registration is gated behind a password-authenticated SSH channel.

    malware · botnet · ddos · golang · iot · honeypot

kinryu@lab

kinryu@lab: ~/intelligence
$