A rede SuckerPot

Muitos honeypots. Uma denúncia.

Um honeypot vê um ataque. Muitos veem um padrão. Os nós juntam o que observam, para que um servidor mau seja denunciado uma vez com provas mais fortes, e não muitas vezes com provas fracas.

Juntar-se em três comandos Lista comunitária de bloqueio

O que é

Um grupo a que se junta e de que sai quando quiser.

Por opção. Um nó que não se junta não envia nada.
Sem conta e sem email. Um nó tem, no máximo, um pseudónimo opcional.
Só são partilhados os factos que uma denúncia levaria. O hub nunca guarda o endereço de um nó.
As ligações de malware vistas por vários nós vão para a abuse.ch, depois de uma revisão humana.
Sair custa um clique, ou um comando.

Um servidor, cinco testemunhas, uma denúncia.Ilustração. Os nomes dos nós são inventados.

O que é partilhado

Cinco itens. Nunca palavras-passe, nunca comandos.

Ao juntar-se, são mostrados cinco itens, e a API recusa a adesão sem confirmar os cinco. Tudo o resto fica na sua máquina.

Item	O que é enviado
Endereços de atacantes	Os endereços que atacaram os seus sensores, com o tipo de serviço, uma atividade resumida e contagens arredondadas.
Ligações de download	Um hash SHA-256 da ligação normalizada. A ligação em claro só é revelada depois de a rede confirmar o hash.
Impressões digitais de ficheiros de malware	Hash, família e tipo de ficheiro. O ficheiro em si nunca é enviado.
Servidores de comando	Só ligações de alta confiança, apoiadas por um dropper que vários sensores descarregaram.
Verificações de remoção	Se um alvo denunciado ainda responde. Ainda não está ativo.

Nunca partilhado

Nomes de utilizador e palavras-passe que os atacantes tentaram.
Comandos escritos numa shell, e pedidos web.
Portas e horas exatas. Só o dia UTC é enviado.
O seu endereço, domínio ou nome de máquina, em qualquer grafia.
Endereços privados, reservados e de documentação.

Antes de um lote sair, a verificação de identidade retira qualquer item que o identifique. Nada é enviado até o seu endereço público ser confirmado. A lista completa está na documentação.

Consenso

Um único nó nunca pode publicar nada.

Envenenar é enviar avistamentos falsos para fazer listar um endereço inocente. Um alvo só é confirmado quando todas estas condições se verificam. Os números são predefinições que o operador do hub pode alterar.

Isto torna o envenenamento caro, não impossível: um operador paciente, com nós bem-comportados suficientes, ainda poderia fazer passar um alvo falso. A revisão humana das denúncias é a última barreira.

Pelo menos 5 nós elegíveis viram-no.
Os avistamentos vêm de pelo menos dois dias diferentes, ou de 10 nós.
Nenhuma semana de adesão fornece mais de metade dos nós, por isso uma quinta que se inscreve de uma vez não consegue confirmar sozinha.
Um endereço visto por 5 a 9 nós também precisa de um sinal de má reputação de uma fonte externa, ou então de 10 nós.
Um servidor de comando só conta com um ficheiro que pelo menos dois nós elegíveis descarregaram.
Resolvers públicos, grandes domínios de CDN e SaaS, registos de pacotes e intervalos reservados nunca são confirmados.
Um nó elegível tem pelo menos 14 dias e enviou dados em pelo menos 7 dos últimos 14 dias.

Remoções

A denúncia resultou?

O SuckerPot pode seguir os alvos das suas denúncias: o ficheiro de malware ainda é servido, o endereço atacante ainda está ativo, quanto tempo demorou a remoção. O acompanhamento é opcional e está desligado por defeito.

Nunca caça de volta

Alvo	Contactado?
Um URL de malware que serviu uma amostra ao coletor	Sim, um pedido limitado através da VPN, da mesma forma que a primeira descarga.
Um servidor de comando e controlo	Nunca. Sem ligação, sem ping, sem captura de banner.
Um endereço IP atacante	Nunca. Sem ligação, sem ping, sem traceroute.
Qualquer máquina, para scans de portas ou pesquisas inversas	Nunca.

O que vê

Cada alvo tem um estado, mostrado com um ícone e uma palavra: ainda a servir, a servir um ficheiro novo, em baixo ou desconhecido.
Uma única verificação falhada nunca quer dizer em baixo. Um URL está em baixo quando as suas duas últimas verificações coincidem e estão suficientemente afastadas.
O tempo até à remoção é uma janela, por exemplo «em baixo entre as 14:00 e as 20:00, 19 horas após a denúncia».
A página de Resultados conta as remoções até 48 horas, só sobre alvos observados durante as 48 horas inteiras.
Os fornecedores que respondem e os que ignoram as denúncias aparecem lado a lado.

As denúncias e o acompanhamento usam o caminho VPN anónimo. Os servidores de malware e de comando confirmados também podem ir para a abuse.ch, onde a URLhaus e a ThreatFox os listam para todos. Isso vem desligado por defeito e uma pessoa revê cada submissão.

Acrescente os seus sensores ao grupo.

Juntar-se não dá lista privada nem cópia antecipada. Torna as listas gratuitas mais rápidas e mais precisas para todos.

Participar Instalação completa