SuckerPotAnonimato
O seu endereço de casa nunca sai à frente.
Os atacantes já conhecem o endereço que atingem. Ninguém mais deve ficar a saber dele por si. Por isso, cada ligação de saída segue um só caminho, e esse caminho tem uma porta de controlo.
A única saída
Uma verificação de identidade, depois uma VPN com kill switch.
As consultas, os descarregamentos de ficheiros e as denúncias saem da máquina por um só caminho. Tudo o resto não tem rota de saída nenhuma.
A sua máquina
- consultas
- descarregamentos de ficheiros
- denúncias de abuso
Verificação de identidade
Recusa qualquer texto que o identifique a si, ao seu endereço, à sua máquina ou ao projeto.
VPN + kill switch
Túnel em baixo significa que nada sai. O DNS também passa por ele.
Internet
Vê a saída da VPN, não a si.
- Só um contentor pode chegar à internet: o cliente VPN. Um teste no CI verifica isto em cada alteração.
- As denúncias levam só factos: horas, endereços, comandos, URLs, hashes. O texto é opcional.
- Reveja cada denúncia. Envie-a a partir da sua caixa de correio anónima, ou deixe o SuckerPot enviá-la pelo túnel.
$ check report-7f3a.eml body 2 URLs, 1 hash ok headers neutral ok line 12 names this host stop refused: nothing was sent
Denúncias de abuso
Rascunhos que lê, copia e envia.
O SuckerPot encontra o contacto de abuso de cada atacante, servidor de ficheiros e servidor de comando, e prepara uma denúncia. Por defeito, nada é enviado por si.
- A verificação de identidade vem primeiro em cada denúncia. Diz o que foi mascarado, ou porque a denúncia está bloqueada.
- Formatos: texto simples, X-ARF e .eml, com botões de cópia e descargas.
- Exportação para CERTs em STIX 2.1 ou MISP JSON, com escolha de TLP.
- Opcional: as respostas podem ser lidas numa caixa de correio dedicada e ligadas à denúncia a que respondem.
- Sem contra-análises e sem denúncias automáticas à AbuseIPDB. O SuckerPot apenas a lê.
Limites, com franqueza
O que isto não consegue esconder.
Uma denúncia leva horas e portas. A rede do atacante poderia cruzá-las com os seus próprios registos para descobrir o endereço atacado. O atacante já conhecia esse endereço, por isso nada de novo se fica a saber sobre si.
O instalador descarrega imagens assinadas de um registo, usando o seu próprio endereço. Assim que a VPN estiver configurada, tudo o que o SuckerPot envia depois da instalação passa pelo túnel.
O modo participante pode correr sem VPN. Então o hub, e o fornecedor de túnel à sua frente, veem o seu endereço de casa quando o nó se liga. O hub não o guarda. Pode juntar uma VPN a qualquer momento. Veja Participar.