SuckerPotSensoren
Zwölf Türen. Alle falsch.
Jeder Dienst antwortet mit echt wirkenden Bannern und Versionen, damit Bots weiter gehen als ein Portscan. Er zeichnet auf, was sie tun, und führt nichts davon aus.
Die zwölf
Vier Familien, je eine Farbe.
Der Installer aktiviert standardmäßig sechs; --sensors all aktiviert alle zwölf. Im Dashboard unterscheiden Name und Symbol sie, so wirkt Farbe nie allein.
- Entfernte Shells
- Web und APIs
- Datenbanken
- Windows und VoIP
Gebaut für feindlichen Verkehr
Regeln, an die sich jeder Sensor hält.
Durch Tests erzwungen, nicht nur niedergeschrieben.
- Nichts läuft. Falsche Befehle liefern fest hinterlegte oder erzeugte Ausgaben. Eingaben des Angreifers erreichen nie eine echte Shell.
- Nichts wird abgerufen. Ein Download-Befehl zeichnet nur die URL auf.
- Kein ausgehender Verkehr. Ein Sensor nimmt Verbindungen an und baut nie selbst eine auf.
- Überall Grenzen. Verbindungslimits pro Sensor und pro Quelle, Timeouts bei jedem Lesevorgang, eine Größengrenze für jedes erfasste Feld.
- Eigene Tür zur Warteschlange. Jeder Sensor kann nur in seinen eigenen Stream schreiben.
- Eine glaubwürdige Identität. Nichts, was ein Client sieht, nennt das Projekt.
- Gehärtete Container. Nicht-Root, nur lesbar, alle Capabilities entfernt, mit Speicher- und Prozesslimits.
Nutzlasten
Malware geht in Quarantäne. Nie in eine Shell.
Ein separates Sammelmodul kann eine aufgezeichnete URL abrufen, über das VPN, mit Größen- und Zeitlimits. Es ist standardmäßig aus: Du schaltest es ein.
- Gespeichert unter seinem SHA-256, nur lesbar, nie ausgeführt.
- Nur statische Analyse: Dateityp, Zeichenketten, YARA-Regeln, Entschleierung von Skripten.
- Die Befehlsserver, die es kontaktiert, werden extrahiert und können ebenfalls gemeldet werden.
- sha256
- 4c1f9e0a…d27b5e83
- Typ
- ELF 32-bit, ARM
- von
- http://198.51.100.23/arm7
- abgerufen
- über den VPN-Tunnel
- yara
- mirai_generic (schwer)
- c2
- 203.0.113.200:23
- Zustand
- in Quarantäne · Modus 0400
Bring sie ins Internet.
Dein Router leitet den Standardport jedes Dienstes an den Rechner weiter, und der Installer gibt die genaue Tabelle aus. Leite niemals den Dashboard-Port oder deinen eigenen SSH-Admin-Port weiter.