Una investigación reciente de NSFOCUS ha sacado a la luz una nueva amenaza: HTTPBot, una botnet escrita en Golang que desde abril de 2025 ha ejecutado más de 200 ataques DDoS dirigidos contra portales de videojuegos, compañías tecnológicas y centros educativos, principalmente en China. A diferencia de los ataques volumétricos tradicionales, HTTPBot actúa con precisión quirúrgica, colapsando funciones críticas como los sistemas de inicio de sesión o los pagos dentro del juego, dificultando la respuesta de las defensas convencionales.

Una botnet diferente: orientada a Windows y ataques de capa 7

HTTPBot destaca por atacar exclusivamente sistemas Windows, lo cual rompe con la norma de las botnets DDoS tradicionales que suelen aprovechar dispositivos Linux o IoT. Una vez compromete una máquina, el malware:

• Oculta su interfaz gráfica para pasar desapercibido.
• Se registra en el sistema (clave HKLM…\Run) para ejecutarse automáticamente al iniciar Windows.
• Establece conexión con su servidor de comando y control (C2) para recibir instrucciones.

Técnicas avanzadas de evasión y ataque

HTTPBot incluye siete módulos diseñados para simular tráfico legítimo mediante ataques HTTP de capa 7. Algunos de los más destacados:

• BrowserAttack: lanza múltiples instancias ocultas de Chrome, generando carga realista en el servidor.
• HttpAutoAttack: utiliza cookies dinámicas y cabeceras rotatorias para imitar tráfico de usuarios reales.
• HttpFpDlAttack: aprovecha HTTP/2 para forzar respuestas de gran tamaño y agotar la CPU del servidor.
• Otros módulos como WebSocketAttack, PostAttack y CookieAttack emplean rutas aleatorias y modificaciones en tiempo real para dificultar su detección.

A diferencia de un DDoS convencional basado en volumen, HTTPBot se enfoca en interrumpir servicios clave mediante ráfagas breves, dificultando su identificación por herramientas basadas en patrones de tráfico o reglas.

Detectada inicialmente en agosto de 2024, la botnet ha evolucionado rápidamente gracias al uso de técnicas de ofuscación dinámica, incluyendo:

• Rotación constante de cabeceras.
• Uso de URLs aleatorias.
• Recarga de cookies en tiempo real.

Este enfoque demuestra una tendencia creciente hacia los ataques DDoS inteligentes de capa 7, centrados en la lógica del negocio. Este tipo de ofensiva no solo es más rentable para los atacantes, sino también mucho más difícil de mitigar con herramientas tradicionales.

HTTPBot representa una evolución preocupante en las amenazas DDoS: ataques precisos, difíciles de detectar y adaptados a las funciones críticas de cada objetivo. La industria del gaming, con su necesidad de alta disponibilidad y respuesta en tiempo real, se convierte en un blanco perfecto. La defensa ante estas amenazas requiere monitorización basada en comportamiento, detección de anomalías y capacidad de escalar servicios de forma elástica.

Fuentes:

• New HTTPBot Botnet Launches 200+ Precision DDoS Attacks on Gaming and Tech Sectors – The Hacker News
• High Risk Warning for Windows Ecosystem: New Botnet Family HTTPBot is Expanding – NSFOCUS