SuckerPotCapteurs
Douze portes. Toutes fausses.
Chaque service répond avec des bannières et des versions d'apparence réelle, pour que les bots aillent plus loin qu'un simple scan de ports. Il enregistre ce qu'ils font et n'exécute rien de tout cela.
Les douze
Quatre familles, une couleur chacune.
L'installateur active six capteurs par défaut ; --sensors all active les douze. Dans le tableau de bord, un nom et une icône les distinguent, pour que la couleur ne serve jamais seule.
- Shells distants
- Web et API
- Bases de données
- Windows et VoIP
Conçu pour un trafic hostile
Des règles que chaque capteur suit.
Imposées par des tests, pas seulement écrites.
- Rien ne s'exécute. Les fausses commandes renvoient une sortie figée ou générée. L'entrée de l'attaquant n'atteint jamais un vrai shell.
- Rien n'est récupéré. Une commande de téléchargement se contente d'enregistrer l'URL.
- Aucun trafic sortant. Un capteur accepte les connexions et n'en ouvre jamais.
- Des limites partout. Plafonds de connexions par capteur et par source, délais sur chaque lecture, taille maximale sur chaque champ capturé.
- Sa propre porte vers la file. Chaque capteur ne peut écrire que dans son propre flux.
- Une identité crédible. Rien de ce qu'un client voit ne nomme le projet.
- Conteneurs durcis. Non-root, lecture seule, toutes les capacités retirées, avec des limites de mémoire et de processus.
Charges utiles
Les malwares vont en quarantaine. Jamais dans un shell.
Un collecteur séparé peut récupérer une URL enregistrée, via le VPN, avec des limites de taille et de temps. Il est désactivé par défaut : c'est toi qui l'actives.
- Stocké sous son SHA-256, en lecture seule, jamais exécuté.
- Analyse statique uniquement : type de fichier, chaînes, règles YARA, désobfuscation des scripts.
- Les serveurs de commandes qu'il contacte sont extraits et peuvent aussi être signalés.
- sha256
- 4c1f9e0a…d27b5e83
- type
- ELF 32-bit, ARM
- depuis
- http://198.51.100.23/arm7
- récupéré
- via le tunnel VPN
- yara
- mirai_generic (grave)
- c2
- 203.0.113.200:23
- état
- en quarantaine · mode 0400
Mets-les sur internet.
Ton routeur redirige le port standard de chaque service vers la machine, et l'installateur affiche le tableau exact. Ne redirige jamais le port du tableau de bord ni ton propre port SSH d'administration.