O que entra numa lista, e como sai.

As entradas saem sozinhas: ninguém tem de se lembrar de remover um endereço antigo. Uma que regressa só volta a ser listada após um novo avistamento.

Cada lista tem também uma versão mais exigente, -high, com menos entradas. Por defeito exige pelo menos 10 sensores, avistamentos em três dias diferentes e uma verificação numa fonte externa de reputação.

Formatos

• Texto simples, um endereço por linha, também em ficheiros IPv4 e IPv6 separados.
• Scripts para nftables, ipset e MikroTik RouterOS.
• CSV e JSON com as datas: primeiro avistamento, último avistamento e expiração.
• Pacotes STIX 2.1 para as listas de saída.
• As listas de domínios vêm só em texto, CSV e JSON.

Assinado com minisign

Cada ficheiro tem uma assinatura .minisig ao lado, feita com chaves Ed25519. A chave dos feeds é separada da chave que assina as mensagens da rede, por isso uma fuga de uma não pode forjar a outra. A chave pública está no README.txt junto às listas. Para verificar um ficheiro:

minisign -Vm inbound.txt -P <public key>

Uma firewall que carrega o URL simples não verifica assinaturas. Use um espelho verificado, ou verifique o ficheiro antes.

Um apoio à defesa, não um veredicto

Um registo na lista é uma observação factual, não uma acusação contra a pessoa que tem o endereço. Muitos dispositivos listados estão eles próprios comprometidos, por exemplo um router ou um NAS controlado por outra pessoa. O que bloqueia na sua própria rede é uma escolha sua.

As regras

São predefinições. O hub pode alterá-las, e os valores em vigor estão em suckerpot-hub.selfhostr.io/v1/info.

• Pelo menos cinco sensores viram o endereço. Cada um foi inscrito há pelo menos 14 dias e reportou em pelo menos 7 dos últimos 14 dias.
• Os avistamentos são em pelo menos dois dias diferentes, ou vêm de pelo menos dez sensores.
• Uma semana de inscrição não pode fornecer mais de metade da prova, por isso sensores que se inscreveram juntos não conseguem listar um endereço sozinhos.
• Se nenhuma fonte externa de reputação conhece um endereço, são precisos dez sensores em vez de cinco. O operador define estas fontes.
• Uma varredura ou uma simples ligação nunca lista um endereço. Uma entrada de entrada exige um início de sessão, um comando, um descarregamento, uma tentativa de exploit ou muitos palpites de palavra-passe.
• Um servidor de malware exige um ficheiro descarregado que corresponda a uma família de malware conhecida, ou que seja um programa ou script executável, visto por pelo menos dois sensores. Um URL num comando não basta.
• Um servidor de comando exige alta confiança da rede, e pelo menos duas amostras de malware diferentes, de pelo menos dois sensores, que apontem para ele.

Nunca listado

• Nós de saída da Tor. Milhares de pessoas partilham cada um.
• Grandes intervalos de front-end de CDN e de nuvem. Um só endereço pode servir milhares de sites.
• Resolvers DNS públicos e servidores raiz. Bloqueá-los parte redes.
• Nomes de alojamento partilhado e de software como serviço. Bloqueá-los parte o trabalho.
• Endereços privados e reservados, como a sua própria rede local.
• Scanners de investigação, que se anunciam.
• Endereços da lista de permissões, por exemplo após um pedido de remoção aceite.

Servidores de nuvem comuns não são excluídos, porque o malware costuma viver neles. A expiração curta e a remoção após uma remoção limitam o dano quando um endereço é reutilizado. O número de endereços excluídos é público; os próprios endereços não.

Travão de emergência

Se uma atualização acrescentar ou retirar mais de metade de uma lista, e mudarem pelo menos 200 entradas, nada é publicado. Os ficheiros anteriores ficam online até um operador verificar a alteração. Isto impede que um lote mau ou um erro mude o que a sua firewall bloqueia durante a noite.

Uma nova entrada espera seis horas após ser confirmada antes de aparecer. As listas são recriadas de hora a hora.

• Sem endereços IP de membros. As listas guardam endereços de atacantes, não os dos sensores.
• Sem nomes de membros, pseudónimos, IDs de nós nem impressões digitais.
• Sem hora exata de um avistamento, só o dia.
• Sem URLs, amostras de malware ou texto livre nas listas.
• Sem registos de quem descarrega uma lista. O site dos feeds não guarda registo de acessos.
• Sem cookies, sem analytics e sem pedidos a terceiros no site dos feeds.
• Sem conta e sem token.

Como pedir

1. Abra o formulário de pedido em https://suckerpot-feeds.selfhostr.io/v1/delist.html.
2. Indique o endereço ou nome de máquina, escolha um motivo e acrescente detalhes se quiser (texto simples, no máximo 2000 caracteres).
3. O formulário resolve primeiro um puzzle de prova de trabalho, que demora cerca de um segundo. Isto substitui um início de sessão e trava as inundações de pedidos.
4. Recebe um número de pedido e um código de estado. O código é mostrado uma só vez: guarde-o para verificar o estado mais tarde, na mesma página.

Motivos que pode indicar

• Eu opero este endereço e ele não atacava ninguém.
• É infraestrutura partilhada, como uma CDN, um proxy ou um resolver.
• O problema está corrigido ou limpo.
• O endereço passou agora para outra pessoa.
• Outra coisa. Explique nos detalhes.

Verificar um valor

Pode verificar qualquer endereço ou nome de máquina sem enviar um pedido, com a caixa de consulta na página de pedidos ou com a chamada abaixo. A resposta indica cada lista que contém o valor, com as respetivas datas. A consulta tem limite de pedidos.

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

O que acontece a seguir

• Pretendemos decidir cada pedido em 72 horas.
• Uma entrada de entrada fica oculta enquanto o seu pedido estiver aberto.
• Uma entrada de saída continua listada até uma pessoa ter revisto o pedido. Estas entradas protegem mais, por isso não as removemos só com base numa afirmação.

Os seus dados num pedido

• O formulário não guarda o seu endereço IP.
• Os detalhes e o seu contacto só são usados para responder, e apagados 30 dias após a decisão.
• Se um pedido continuar aberto ao fim de 180 dias, os detalhes e o contacto são então apagados. O registo do pedido em si é apagado 180 dias após ter sido feito.

• Só as entradas confirmadas são denunciadas, nunca uma varredura ou uma simples ligação.
• Por defeito, um operador revê cada denúncia antes de ser enviada.
• As denúncias vão para o contacto de abuso do dono da rede, encontrado em dados públicos de registo (RDAP).
• Uma denúncia leva só factos: dias, serviços, contagens em intervalos, e quantos sensores a viram. Nunca identifica um membro.
• As denúncias saem por uma VPN. Uma verificação de identidade recusa qualquer texto que mencione o projeto ou o seu operador.
• Uma denúncia por alvo e por destinatário. O mesmo alvo não volta a ser denunciado em 30 dias.

abuse.ch

Os servidores de malware e de comando confirmados podem também ir para a abuse.ch, onde a URLhaus e a ThreatFox os listam para todos. É opcional e está desligado por defeito. Hoje, uma pessoa revê cada submissão, e os servidores de comando só são submetidos depois de um operador os aprovar. O registo de uma submissão concluída é guardado durante 365 dias.