Campaña DDoS TCP SYN Flood
Origen Brasil (Marzo-Abril 2026)

Telconet CSOC-CSIRT ha detectado y documentado una campaña sostenida de ataques de Denegación de Servicio Distribuido (DDoS) de tipo TCP SYN Flood dirigida contra portales HTTPS (TCP/443) de organizaciones en múltiples sectores. La campaña, originada exclusivamente desde infraestructura ubicada en Brasil, se encuentra activa desde el 12 de marzo de 2026 y continúa al momento de la emisión de este boletín.

Ficha Técnica

Descripción del Ataque

El ataque fue ejecutado mediante una botnet coordinada compuesta por decenas de subredes /24, todas con geolocalización en Brasil. A diferencia de los ataques volumétricos tradicionales, el objetivo principal fue el agotamiento de la tabla de conexiones TCP half-open: el atacante envía paquetes SYN masivamente sin completar el handshake TCP, dejando los servidores destino sin capacidad de responder a tráfico legítimo.

La campaña se desarrolló en cuatro fases diferenciadas entre el 12 y 19 de marzo, con persistencia sostenida hasta la fecha de este boletín. En la Fase 4 (18 de marzo), decenas de IPs del rango 143.0.164.x–143.0.167.x dispararon de forma sincronizada en el mismo segundo, superando el evento 998 en logs de herramientas perimetrales, evidenciando coordinación centralizada de botnet (C2).

Inteligencia de proveedores indica un incremento significativo de actividad maliciosa desde dispositivos IPTVbox comprometidos con geolocalización brasileña — dispositivos frecuentemente con firmware desactualizado y sin segmentación de red, susceptibles de reclutamiento en botnets de bajo costo operacional.

Como antecedente relevante, entre julio y septiembre de 2025 se registró una campaña de denegación de servicio similar pero dirigida al protocolo BGP (TCP/179), también originada desde IPs brasileñas. La recurrencia de ambas campañas desde el mismo origen geográfico, con escalada de Capa 3–4 (BGP) a Capa 7 (HTTPS), sugiere una tendencia sostenida y no un evento aislado.

Solución y Recomendaciones

• Geo-blocking de Brasil: Bloquear el tráfico de origen brasileño en interfaces con exposición pública donde no existan relaciones de negocio legítimas con ese país.
• Activar DoS Policy: Configurar políticas de protección DoS con umbrales de tcp_syn_flood e ip_conn en interfaces expuestas para mitigación automática en tiempo real.
• Habilitar SYN Cookies: Activar SYN Cookies en sistemas operativos de servidores expuestos para mitigar el agotamiento de la tabla TCP half-open a nivel de host.
• Rate limiting por IP origen: Configurar límites de conexiones simultáneas por IP en políticas permisivas para detectar y bloquear comportamientos de alto volumen automáticamente.
• Bloqueo preventivo de IoCs: Incorporar los rangos listados en la sección siguiente en listas negras de firewalls perimetrales, WAF y soluciones anti-DDoS (scrubbing centers, CDN).
• Auditar políticas permisivas: Aplicar el principio de mínimo privilegio en políticas de firewall con destino a zonas DMZ.
• Para infraestructura BGP: Revisar RPKI/ROA (validación de prefijos), autenticación MD5 en sesiones de peering y rate-limiting sobre TCP/179 en dispositivos de borde.

Indicadores de Compromiso (IoCs)

A continuación se presentan los rangos IP y nodos individuales identificados durante la campaña. Todos los indicadores tienen origen en Brasil y han sido verificados mediante geolocalización y AbuseIPDB.

Contacto

Para consultas adicionales, envío de IoCs complementarios o coordinación de respuesta, comuníquese con el equipo CSOC-CSIRT de Telconet S.A.: csirt@telconet.ec