SuckerPotSensores
Doce puertas. Todas falsas.
Cada servicio responde con banners y versiones de aspecto real, así que los bots llegan más lejos que un escaneo de puertos. Registra lo que hacen y no ejecuta nada de ello.
Los doce
Cuatro familias, un color cada una.
El instalador activa seis por defecto; --sensors all activa los doce. En el panel, un nombre y un icono los distinguen, así que el color nunca va solo.
- Shells remotas
- Web y APIs
- Bases de datos
- Windows y VoIP
Hecho para tráfico hostil
Reglas que siguen todos los sensores.
Las imponen los tests, no solo están escritas.
- Nada se ejecuta. Los comandos falsos devuelven salida preparada o generada. Lo que escribe el atacante nunca llega a una shell real.
- Nada se descarga. Un comando de descarga solo registra la URL.
- Sin tráfico saliente. Un sensor acepta conexiones y nunca hace ninguna.
- Límites en todas partes. Topes de conexiones por sensor y por origen, tiempos de espera en cada lectura y un tamaño máximo para cada campo capturado.
- Su propia puerta a la cola. Cada sensor solo puede escribir en su propio flujo.
- Una identidad creíble. Nada de lo que ve un cliente menciona el proyecto.
- Contenedores endurecidos. Sin root, de solo lectura, con todas las capacidades eliminadas y límites de memoria y procesos.
Payloads
El malware va a cuarentena. Nunca a una shell.
Un recolector aparte puede descargar una URL registrada, a través de la VPN, con límites de tamaño y de tiempo. Viene desactivado: tú lo activas.
- Guardado bajo su SHA-256, de solo lectura, nunca ejecutado.
- Solo análisis estático: tipo de archivo, cadenas, reglas YARA, desofuscación de scripts.
- Los servidores de comandos a los que contacta se extraen y también pueden denunciarse.
- sha256
- 4c1f9e0a…d27b5e83
- tipo
- ELF 32-bit, ARM
- desde
- http://198.51.100.23/arm7
- descargada
- a través del túnel VPN
- yara
- mirai_generic (grave)
- c2
- 203.0.113.200:23
- estado
- en cuarentena · modo 0400
Ponlos en internet.
Tu router reenvía el puerto estándar de cada servicio a la máquina, y el instalador imprime la tabla exacta. Nunca reenvíes el puerto del panel ni tu propio puerto SSH de administración.