A rede SuckerPot

Muitos honeypots. Uma denúncia.

Um honeypot vê um ataque. Muitos veem um padrão. Os nós juntam o que observam, para que um servidor malicioso seja denunciado uma vez com provas mais fortes, e não muitas vezes com provas fracas.

Entrar em três comandos Lista comunitária de bloqueio

O que é

Um grupo do qual você entra e sai quando quiser.

Por adesão. Um nó que não entra não envia nada.
Sem conta e sem e-mail. Um nó tem no máximo um pseudônimo opcional.
Só são compartilhados os fatos que uma denúncia traria. O hub nunca guarda o endereço de um nó.
Links de malware vistos por vários nós vão para a abuse.ch, depois de uma revisão humana.
Sair custa um clique, ou um comando.

Um host, cinco testemunhas, uma denúncia.Ilustração. Os nomes dos nós são inventados.

O que é compartilhado

Cinco itens. Nunca senhas, nunca comandos.

Ao entrar, você vê cinco itens, e a API recusa a entrada sem que você confirme todos os cinco. Todo o resto fica na sua máquina.

Item	O que é enviado
Endereços de atacantes	Os endereços que atacaram os seus sensores, com o tipo de serviço, uma atividade resumida e contagens arredondadas.
Links de download	Um hash SHA-256 do link normalizado. O link em texto claro só é revelado depois que a rede confirma o hash.
Impressões digitais de arquivos de malware	Hash, família e tipo de arquivo. O arquivo em si nunca é enviado.
Servidores de comando	Só links de alta confiança, respaldados por um dropper que vários sensores baixaram.
Checagens de remoção	Se um alvo denunciado ainda responde. Ainda não está ativo.

Nunca compartilhado

Nomes de usuário e senhas que os atacantes tentaram.
Comandos digitados em um shell, e requisições web.
Portas e horários exatos. Só o dia em UTC é enviado.
Seu endereço, domínio ou nome de host, em qualquer grafia.
Endereços privados, reservados e de documentação.

Antes de um lote sair, a verificação de identidade remove qualquer item que cite você. Nada é enviado até que o seu endereço público seja confirmado. A lista completa está na documentação.

Consenso

Um único nó nunca pode publicar nada.

Envenenar é mandar avistamentos falsos para fazer um endereço inocente entrar na lista. Um alvo só é confirmado quando todas estas condições valem. Os números são padrões que o operador do hub pode mudar.

Isso torna o envenenamento caro, não impossível: um operador paciente, com nós bem-comportados suficientes, ainda poderia emplacar um alvo falso. A revisão humana das denúncias é a última barreira.

Pelo menos 5 nós elegíveis viram.
Os avistamentos vêm de pelo menos dois dias diferentes, ou de 10 nós.
Nenhuma semana de adesão fornece mais da metade dos nós, então uma fazenda que se cadastra de uma vez não consegue confirmar sozinha.
Um endereço visto por 5 a 9 nós também precisa de um sinal de má reputação de uma fonte externa, ou então de 10 nós.
Um servidor de comando só conta com um arquivo que pelo menos dois nós elegíveis baixaram.
Resolvers públicos, grandes domínios de CDN e SaaS, registros de pacotes e faixas reservadas nunca são confirmados.
Um nó elegível tem pelo menos 14 dias e enviou dados em pelo menos 7 dos últimos 14 dias.

Remoções

A denúncia funcionou?

O SuckerPot pode acompanhar os alvos das suas denúncias: o arquivo de malware ainda é servido, o endereço atacante ainda está ativo, quanto tempo levou a remoção. O acompanhamento é opcional e vem desligado por padrão.

Nunca caça de volta

Alvo	Contatado?
Uma URL de malware que serviu uma amostra ao coletor	Sim, uma requisição limitada pela VPN, do mesmo jeito que o primeiro download.
Um servidor de comando e controle	Nunca. Sem conexão, sem ping, sem captura de banner.
Um endereço IP atacante	Nunca. Sem conexão, sem ping, sem traceroute.
Qualquer host, para port scans ou consultas reversas	Nunca.

O que você vê

Cada alvo tem um estado, mostrado com um ícone e uma palavra: ainda no ar, servindo um arquivo novo, fora do ar ou desconhecido.
Uma única checagem que falha nunca quer dizer fora do ar. Uma URL está fora do ar quando suas duas últimas checagens concordam e estão distantes o suficiente.
O tempo até a remoção é uma janela, por exemplo «fora do ar entre 14:00 e 20:00, 19 horas após a denúncia».
A página de Resultados conta as remoções em até 48 horas, só sobre alvos observados durante as 48 horas inteiras.
Provedores que respondem e os que ignoram denúncias aparecem lado a lado.

Denúncias e acompanhamento usam a rota VPN anônima. Servidores de malware e de comando confirmados também podem ir para a abuse.ch, onde a URLhaus e a ThreatFox os listam para todos. Isso vem desligado por padrão, e uma pessoa revisa cada envio.

Adicione seus sensores ao grupo.

Entrar não dá lista privada nem cópia antecipada. Ela deixa as listas gratuitas mais rápidas e mais precisas para todo mundo.

Participar Instalação completa