Sentinel

Malware en producción que nadie había detectado

En 2025 encontré malware activo en el VPS de producción de bitmovil.mx — un servidor con 14 dominios, cPanel/WHM y múltiples aplicaciones web. No fue una brecha nueva: llevaba tiempo ahí. ClamAV y las herramientas integradas de cPanel no lo habían detectado.

Los hallazgos: webshells en directorios de uploads, un backdoor en un usuario de base de datos MySQL, y fileless malware ejecutando en un proceso PHP-FPM. Todas las alertas de cPanel existentes generaban demasiado ruido para ser procesables.

Diseño del agente

Sentinel corre como daemon Python en el servidor. No es un script de cron — es un proceso persistente con estado que correlaciona eventos a lo largo del tiempo.

Logs del servidor (ModSecurity, CSF, auth.log, Apache)
    ↓
Sentinel Agent (Python, daemon)
    ├── Parser de logs
    │   └── Normalización de formato por fuente
    ├── Motor de detección
    │   ├── Reglas estáticas (patrones conocidos)
    │   └── Claude API → análisis de anomalías
    ├── Clasificador de severidad
    │   └── CRÍTICO / ALTO / MEDIO / INFO
    └── Orchestrator de acciones
         ├── Telegram Bot → alerta procesable al operador
         ├── CSF API → bloqueo automático de IPs
         └── cPanel UAPI → cuarentena de archivos

Fragmentos representativos

No publico el repo completo — el agente tiene conocimiento del servidor de producción. Pero estos fragmentos documentan los patrones de diseño que hacen funcionar el sistema.

# Parser de log ModSecurity (fragmento)
def parse_modsec_entry(log_line: str) -> dict | None:
    """
    ModSecurity escribe en formato no estándar.
    Extraemos: IP origen, regla activada, URI, severidad.
    """
    pattern = r'\[client (\S+)\].*?id "(\d+)".*?msg "(.*?)".*?severity "(\w+)"'
    match = re.search(pattern, log_line)
    if not match:
        return None
    return {
        "source_ip": match.group(1),
        "rule_id":   match.group(2),
        "message":   match.group(3),
        "severity":  match.group(4),
        "raw":       log_line,
    }

# Clasificador de severidad con Claude API (fragmento)
SYSTEM_PROMPT = """
Eres un analista de seguridad senior especializado en VPS Linux con cPanel.
Recibes entradas de log normalizadas de múltiples fuentes.
Clasifica cada entrada: CRÍTICO, ALTO, MEDIO, INFO.
Responde en JSON. No expliques — solo clasifica y da contexto en 1 línea.
"""

def classify_event(event: dict) -> dict:
    response = client.messages.create(
        model="claude-haiku-4-5",  # Haiku para latencia baja
        max_tokens=200,
        system=SYSTEM_PROMPT,
        messages=[{"role": "user", "content": json.dumps(event)}]
    )
    return json.loads(response.content[0].text)

Casos reales (IPs ofuscadas)

Números reales

Lo que aprendí, lo que falta