SuckerPotSensori
Dodici porte. Tutte finte.
Ogni servizio risponde con banner e versioni dall'aspetto reale, così i bot vanno oltre una semplice scansione di porte. Registra cosa fanno e non esegue nulla di tutto ciò.
I dodici
Quattro famiglie, un colore ciascuna.
L'installer attiva sei sensori di default; --sensors all attiva tutti e dodici. Nella dashboard, un nome e un'icona li distinguono, così il colore non lavora mai da solo.
- Shell remote
- Web e API
- Database
- Windows e VoIP
Costruito per il traffico ostile
Regole che ogni sensore rispetta.
Imposte dai test, non solo scritte.
- Niente viene eseguito. I comandi finti restituiscono output preconfezionato o generato. L'input dell'attaccante non raggiunge mai una shell reale.
- Niente viene scaricato. Un comando di download si limita a registrare l'URL.
- Nessun traffico in uscita. Un sensore accetta connessioni e non ne apre mai.
- Limiti ovunque. Tetti alle connessioni per sensore e per sorgente, timeout su ogni lettura e una dimensione massima per ogni campo catturato.
- La sua porta verso la coda. Ogni sensore può scrivere solo sul proprio flusso.
- Un'identità credibile. Nulla di ciò che vede un client nomina il progetto.
- Container induriti. Senza root, in sola lettura, con tutte le capability eliminate e limiti di memoria e processi.
Payload
Il malware va in quarantena. Mai in una shell.
Un collector separato può scaricare un URL registrato, attraverso la VPN, con limiti di dimensione e di tempo. È disattivato di default: lo attivi tu.
- Salvato sotto il suo SHA-256, in sola lettura, mai eseguito.
- Solo analisi statica: tipo di file, stringhe, regole YARA, deoffuscamento degli script.
- I server di comando che contatta vengono estratti e possono essere segnalati anch'essi.
- sha256
- 4c1f9e0a…d27b5e83
- tipo
- ELF 32-bit, ARM
- da
- http://198.51.100.23/arm7
- scaricato
- tramite il tunnel VPN
- yara
- mirai_generic (grave)
- c2
- 203.0.113.200:23
- stato
- in quarantena · modo 0400
Mettili su internet.
Il tuo router inoltra la porta standard di ogni servizio verso la macchina, e l'installer stampa la tabella esatta. Non inoltrare mai la porta della dashboard né la tua porta SSH di amministrazione.