Qué entra en una lista y cómo sale.

Las entradas salen solas: nadie tiene que acordarse de quitar una dirección antigua. Una que vuelve a aparecer solo se lista de nuevo tras un nuevo avistamiento.

Cada lista también tiene una versión más estricta -high con menos entradas. Por defecto necesita al menos 10 sensores, avistamientos en tres días distintos y una comprobación contra una fuente externa de reputación.

Formatos

• Texto plano, una dirección por línea, también en archivos separados de IPv4 e IPv6.
• Scripts para nftables, ipset y MikroTik RouterOS.
• CSV y JSON con las fechas: primera vez visto, última vez visto y caducidad.
• Paquetes STIX 2.1 para las listas de salida.
• Las listas de dominios llegan solo en texto, CSV y JSON.

Firmado con minisign

Cada archivo tiene una firma .minisig al lado, hecha con claves Ed25519. La clave del feed es distinta de la que firma los mensajes de la red, así que una filtración de una no puede falsificar la otra. La clave pública está en el README.txt junto a las listas. Para comprobar un archivo:

minisign -Vm inbound.txt -P <public key>

Un cortafuegos que carga la URL en texto plano no verifica las firmas. Usa un espejo verificado o comprueba tú el archivo antes.

Una ayuda defensiva, no un veredicto

Estar en una lista es una observación de hechos, no una acusación contra la persona que tiene la dirección. Muchos dispositivos listados están comprometidos, por ejemplo un router o un NAS que controla otra persona. Lo que bloqueas en tu propia red es decisión tuya.

Las reglas

Son valores por defecto. El hub puede cambiarlos, y los valores vigentes están en suckerpot-hub.selfhostr.io/v1/info.

• Al menos cinco sensores vieron la dirección. Cada uno se registró hace al menos 14 días e informó en al menos 7 de los últimos 14 días.
• Los avistamientos son en al menos dos días distintos, o provienen de al menos diez sensores.
• Una semana de alta no puede aportar más de la mitad de las pruebas, así que los sensores que se unieron juntos no pueden listar una dirección por sí solos.
• Si ninguna fuente externa de reputación conoce una dirección, se necesitan diez sensores en lugar de cinco. El operador configura esas fuentes.
• Un escaneo o una simple conexión nunca listan una dirección. Una entrada de entrada necesita un inicio de sesión, un comando, una descarga, un intento de exploit o muchas adivinanzas de contraseña.
• Un host de malware necesita un archivo descargado que coincida con una familia de malware conocida o sea un programa o script ejecutable, visto por al menos dos sensores. Una URL dentro de un comando no basta.
• Un servidor de comando necesita alta confianza de la red, y al menos dos muestras de malware distintas de al menos dos sensores que apunten a él.

Nunca se lista

• Retransmisores de salida de Tor. Miles de personas comparten cada uno.
• Rangos grandes de frontales de CDN y nube. Una sola dirección puede servir a miles de sitios.
• Resolvers DNS públicos y servidores raíz. Bloquearlos rompe redes.
• Nombres de host de alojamiento compartido y software como servicio. Bloquearlos rompe el trabajo.
• Direcciones privadas y reservadas, como tu propia red local.
• Escáneres de investigación, que se anuncian como tales.
• Direcciones de la lista de permitidos, por ejemplo tras una solicitud de retirada aceptada.

Los servidores en la nube corrientes no están excluidos, porque el malware suele vivir allí. La caducidad corta y la retirada tras una baja limitan el daño cuando una dirección se reasigna. El número de direcciones excluidas es público; las direcciones en sí no.

Freno de emergencia

Si una actualización añadiera o quitara más de la mitad de una lista, y cambiaran al menos 200 entradas, no se publica nada. Los archivos anteriores siguen en línea hasta que un operador revisa el cambio. Esto evita que un lote defectuoso o un bug cambie de la noche a la mañana lo que bloquea tu cortafuegos.

Una nueva entrada espera seis horas tras ser confirmada antes de aparecer. Las listas se reconstruyen una vez por hora.

• Ninguna IP de miembros. Las listas contienen direcciones atacantes, no las de los sensores.
• Ningún nombre de miembro, seudónimo, ID de nodo ni huella.
• Ninguna hora exacta de un avistamiento, solo el día.
• Ninguna URL, muestra de malware ni texto libre en las listas.
• Ningún registro de quién descarga una lista. El sitio del feed no guarda registro de acceso.
• Ninguna cookie, ninguna analítica y ninguna petición de terceros en el sitio del feed.
• Ninguna cuenta y ningún token.

Cómo pedirlo

1. Abre el formulario de solicitud en https://suckerpot-feeds.selfhostr.io/v1/delist.html.
2. Escribe la dirección o el nombre de host, elige un motivo y añade detalles si quieres (texto plano, como máximo 2,000 caracteres).
3. El formulario resuelve primero un puzle de prueba de trabajo, que tarda cerca de un segundo. Esto sustituye a un inicio de sesión y limita las avalanchas de peticiones.
4. Recibes un número de solicitud y un código de estado. El código se muestra una sola vez: guárdalo para consultar el estado después en la misma página.

Motivos que puedes indicar

• Opero esta dirección y no atacaba a nadie.
• Es infraestructura compartida, como un CDN, un proxy o un resolver.
• El problema está corregido o limpiado.
• La dirección ahora pertenece a otra persona.
• Otro motivo. Explícalo en los detalles.

Comprobar un valor

Puedes comprobar cualquier dirección o nombre de host sin enviar una solicitud, con el cuadro de consulta de la página de solicitud o la llamada de abajo. La respuesta indica cada lista que contiene el valor, con sus fechas. La consulta tiene límite de peticiones.

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

Qué pasa después

• Nuestro objetivo es decidir cada solicitud en 72 horas.
• Una entrada de entrada queda oculta mientras su solicitud está abierta.
• Una entrada de salida sigue listada hasta que una persona haya revisado la solicitud. Estas entradas son las que más protegen, así que no las quitamos solo con una afirmación.

Tus datos en una solicitud

• El formulario no guarda tu dirección IP.
• Los detalles y tu dirección de contacto solo se usan para responder, y se borran 30 días después de la decisión.
• Si una solicitud sigue abierta tras 180 días, sus detalles y su dirección de contacto se borran entonces. El registro de la solicitud se borra 180 días después de hacerla.

• Solo se denuncian las entradas confirmadas, nunca un escaneo ni una simple conexión.
• Por defecto, un operador revisa cada informe antes de enviarlo.
• Los informes van al contacto de abuso del propietario de la red, localizado con datos públicos de registro (RDAP).
• Un informe solo lleva hechos: días, servicios, cifras en rangos y cuántos sensores lo vieron. Nunca nombra a un miembro.
• Los informes salen por una VPN. Un control de identidad rechaza cualquier texto que nombre el proyecto o a su operador.
• Un informe por objetivo y destinatario. El mismo objetivo no se vuelve a denunciar en 30 días.

abuse.ch

Los hosts de malware y servidores de comando confirmados también pueden ir a abuse.ch, donde URLhaus y ThreatFox los listan para todos. Es opcional y viene desactivado por defecto. Hoy una persona revisa cada envío, y los servidores de comando solo se envían tras la aprobación de un operador. El registro de un envío terminado se guarda 365 días.