La red de SuckerPot

Muchos honeypots. Un solo informe.

Un honeypot ve un ataque. Muchos ven un patrón. Los nodos juntan lo que observan, así que un host malo se denuncia una vez con pruebas más fuertes, no muchas veces con pruebas débiles.

Únete en tres comandos Lista de bloqueo comunitaria

Qué es

Un grupo al que te unes y del que sales cuando quieras.

Voluntario. Un nodo que no se une no envía nada.
Sin cuenta ni correo. Un nodo es, como mucho, un seudónimo opcional.
Solo se comparten los datos que llevaría un informe. El hub nunca guarda la dirección de un nodo.
Los enlaces de malware vistos por varios nodos van a abuse.ch, tras una revisión humana.
Salir cuesta un clic o un comando.

Un host, cinco testigos, un informe.Ilustración. Los nombres de los nodos son inventados.

Qué se comparte

Cinco elementos. Nunca contraseñas, nunca comandos.

Al unirte se muestran cinco elementos, y la API rechaza la unión si no confirmas los cinco. Todo lo demás se queda en tu máquina.

Elemento	Qué se envía
Direcciones atacantes	Las direcciones que atacaron tus sensores, con el tipo de servicio, una actividad general y cifras redondeadas.
Enlaces de descarga	Un hash SHA-256 del enlace normalizado. El enlace en claro solo se revela cuando la red confirma el hash.
Huellas de archivos de malware	Hash, familia y tipo de archivo. El archivo en sí nunca se envía.
Servidores de comandos	Solo enlaces de alta confianza, respaldados por un dropper que varios sensores descargaron.
Comprobaciones de baja	Si un objetivo denunciado sigue respondiendo. Todavía no está activo.

Nunca se comparte

Nombres de usuario y contraseñas que probaron los atacantes.
Comandos escritos en una shell, y peticiones web.
Puertos y horas exactas. Solo se envía el día en UTC.
Tu propia dirección, dominio o nombre de host, con cualquier grafía.
Direcciones privadas, reservadas y de documentación.

Antes de que salga un lote, el control de identidad descarta cualquier elemento que te nombre. Nada se envía hasta que se confirma tu propia dirección pública. La lista completa está en la documentación.

Consenso

Un solo nodo nunca puede publicar nada.

El envenenamiento consiste en enviar avistamientos falsos para que una dirección inocente acabe listada. Un objetivo solo se confirma cuando se cumplen todas estas condiciones. Las cifras son valores por defecto que el operador del hub puede cambiar.

Esto hace el envenenamiento caro, no imposible: un operador paciente con suficientes nodos bien portados podría colar un objetivo falso. La revisión humana de los informes es la última barrera.

Al menos 5 nodos elegibles lo vieron.
Los avistamientos proceden de al menos dos días distintos, o de 10 nodos.
Ninguna semana de alta supone más de la mitad de los nodos, así que una granja que se registra de golpe no puede confirmar por sí sola.
Una dirección vista por 5 a 9 nodos necesita además una señal de mala reputación de una fuente externa, o bien 10 nodos.
Un servidor de comandos solo cuenta con un archivo que descargaron al menos dos nodos elegibles.
Los resolvers públicos, los grandes dominios de CDN y SaaS, los registros de paquetes y los rangos reservados nunca se confirman.
Un nodo elegible tiene al menos 14 días de antigüedad y envió datos en al menos 7 de los últimos 14 días.

Bajas

¿Funcionó el informe?

SuckerPot puede seguir los objetivos de tus informes: ¿sigue sirviéndose el archivo malicioso?, ¿sigue activa la dirección atacante?, ¿cuánto tardó la baja? El seguimiento es opcional y viene desactivado.

Nunca busca de vuelta

Objetivo	¿Se contacta?
Una URL de malware que sirvió una muestra al recolector	Sí, una petición acotada por la VPN, igual que la primera descarga.
Un servidor de comando y control	Nunca. Sin conexión, sin ping, sin captura de banner.
Una dirección IP atacante	Nunca. Sin conexión, sin ping, sin traceroute.
Cualquier host, para escaneos de puertos o búsquedas inversas	Nunca.

Lo que ves

Cada objetivo tiene un estado, mostrado con un icono y una palabra: sigue sirviendo, sirve un archivo nuevo, caído o desconocido.
Un solo fallo de comprobación nunca significa caído. Una URL está caída cuando sus dos últimas comprobaciones coinciden y están suficientemente separadas.
El tiempo hasta la baja es un intervalo, por ejemplo «caído entre las 14:00 y las 20:00, 19 horas después del informe».
La página de Resultados cuenta las bajas en 48 horas, solo sobre objetivos observados durante todas las 48 horas.
Los proveedores que responden y los que ignoran los informes se muestran uno al lado del otro.

Los informes y el seguimiento usan la ruta VPN anónima. Los hosts de malware y los servidores de comando confirmados también pueden ir a abuse.ch, donde URLhaus y ThreatFox los listan para todos. Está desactivado por defecto y una persona revisa cada envío.

Añade tus sensores al grupo.

Unirse no te da ninguna lista privada ni una copia anticipada. Hace que las listas gratuitas sean más rápidas y precisas para todos.

Participar Instalación completa