Le réseau SuckerPot

De nombreux pots de miel. Un seul signalement.

Un pot de miel ne voit qu'une attaque. Plusieurs en voient un schéma. Les nœuds mettent en commun ce qu'ils observent, donc un mauvais hôte est signalé une fois, avec des preuves plus solides, et non plusieurs fois avec des preuves faibles.

Rejoindre en trois commandes Liste de blocage communautaire

Ce que c'est

Un pool que tu peux rejoindre et quitter à tout moment.

Sur adhésion volontaire. Un nœud qui n'adhère pas n'envoie rien.
Pas de compte ni d'e-mail. Un nœud n'a au plus qu'un pseudonyme facultatif.
Seuls les faits qu'un signalement contiendrait sont partagés. Le hub ne stocke jamais l'adresse d'un nœud.
Les liens de malwares vus par plusieurs nœuds vont à abuse.ch, après une relecture humaine.
Quitter prend un clic, ou une commande.

Un hôte, cinq témoins, un signalement.Illustration. Les noms des nœuds sont inventés.

Ce qui est partagé

Cinq éléments. Jamais de mots de passe, jamais de commandes.

Rejoindre te montre cinq éléments, et l'API refuse l'adhésion tant que tu n'as pas confirmé les cinq. Tout le reste reste sur ta machine.

Élément	Ce qui est envoyé
Adresses des attaquants	Les adresses qui ont attaqué tes capteurs, avec le type de service, une activité générale et des comptes arrondis.
Liens de téléchargement	Un hachage SHA-256 du lien normalisé. Le lien en clair n'est révélé qu'après que le réseau a confirmé le hachage.
Empreintes de fichiers malveillants	Hachage, famille et type de fichier. Le fichier lui-même n'est jamais envoyé.
Serveurs de commandes	Seulement les liens à haute confiance, appuyés par un dropper que plusieurs capteurs ont récupéré.
Contrôles de retrait	Si une cible signalée répond encore. Pas encore actif.

Jamais partagé

Les noms d'utilisateur et mots de passe que les attaquants ont essayés.
Les commandes tapées dans un shell, et les requêtes web.
Les ports et les heures exactes. Seul le jour UTC est envoyé.
Ta propre adresse, ton domaine ou ton nom d'hôte, sous n'importe quelle forme.
Les adresses privées, réservées et de documentation.

Avant qu'un lot parte, le contrôle d'identité écarte tout élément qui te nomme. Rien n'est envoyé tant que ton adresse publique n'est pas confirmée. La liste complète est dans la documentation.

Consensus

Un seul nœud ne peut jamais rien publier.

Empoisonner, c'est envoyer de fausses observations pour faire lister une adresse innocente. Une cible n'est confirmée que si toutes ces conditions sont réunies. Les chiffres sont des valeurs par défaut que l'opérateur du hub peut changer.

Cela rend l'empoisonnement coûteux, pas impossible : un opérateur patient avec assez de nœuds bien élevés pourrait encore faire passer une fausse cible. La relecture humaine des signalements est la dernière barrière.

Au moins 5 nœuds éligibles l'ont vue.
Les observations viennent d'au moins deux jours différents, ou de 10 nœuds.
Aucune semaine d'inscription ne fournit plus de la moitié des nœuds, donc une ferme qui s'inscrit d'un coup ne peut pas confirmer seule.
Une adresse vue par 5 à 9 nœuds a aussi besoin d'un signal de mauvaise réputation venant d'une source externe, sinon 10 nœuds.
Un serveur de commandes ne compte que s'il existe un fichier récupéré par au moins deux nœuds éligibles.
Les résolveurs DNS publics, les grands domaines CDN et SaaS, les dépôts de paquets et les plages réservées ne sont jamais confirmés.
Un nœud éligible a au moins 14 jours et a envoyé des données sur au moins 7 des 14 derniers jours.

Retraits

Le signalement a-t-il fonctionné ?

SuckerPot peut suivre les cibles de tes signalements : le fichier malveillant est-il toujours servi, l'adresse attaquante est-elle toujours active, combien de temps a duré le retrait. Le suivi est facultatif et désactivé par défaut.

Il ne traque jamais en retour

Cible	Contactée ?
Une URL de malware qui a servi un échantillon au collecteur	Oui, une requête limitée via le VPN, comme la première récupération.
Un serveur de commande et contrôle	Jamais. Ni connexion, ni ping, ni relevé de bannière.
Une adresse IP attaquante	Jamais. Ni connexion, ni ping, ni traceroute.
Tout hôte, pour des scans de ports ou des recherches inverses	Jamais.

Ce que tu vois

Chaque cible a un seul état, affiché par une icône et un mot : toujours en service, sert un nouveau fichier, hors ligne ou inconnu.
Un seul contrôle raté ne signifie jamais hors ligne. Une URL est hors ligne quand ses deux derniers contrôles concordent et sont assez espacés.
Le temps de retrait est une fenêtre, par exemple « hors ligne entre 14 h et 20 h, 19 heures après le signalement ».
La page Résultats compte les retraits sous 48 heures, uniquement sur les cibles observées pendant les 48 heures entières.
Les fournisseurs qui répondent et ceux qui ignorent les signalements sont affichés côte à côte.

Les signalements et le suivi passent par la voie VPN anonyme. Les hôtes de malwares et serveurs de commande confirmés peuvent aussi aller à abuse.ch, où URLhaus et ThreatFox les listent pour tout le monde. C'est désactivé par défaut, et une personne relit chaque envoi.

Ajoute tes capteurs au pool.

Rejoindre ne te donne ni liste privée ni copie en avance. Cela rend les listes gratuites plus rapides et plus précises pour tout le monde.

Participer Installation complète