SuckerPotSensores
Doze portas. Todas falsas.
Cada serviço responde com banners e versões de aspeto real, para que os bots vão mais longe do que um simples scan de portas. Regista o que eles fazem e não executa nada disso.
Os doze
Quatro famílias, uma cor cada.
O instalador liga seis por defeito; --sensors all liga todos os doze. No painel, um nome e um ícone distinguem-nos, para que a cor nunca funcione sozinha.
- Shells remotas
- Web e APIs
- Bases de dados
- Windows e VoIP
Porta
Serviço
Parece
22SSHOpenSSH 9.6 em Ubuntu, com uma shell falsa
23TelnetUm início de sessão de router BusyBox
5555ADBUma box Android TV sem autenticação
80WebApache com PHP não atualizado, WordPress, phpMyAdmin
2375DockerUma API Docker Engine exposta
5000SynologyUm NAS com DSM não atualizado
6379RedisRedis 7.2 sem palavra-passe
3306MySQLMySQL 8.0 com logins fracos
1433MSSQLSQL Server com logins fracos
3389RDPUm Windows Server com NLA
445SMBUm serviço de ficheiros Windows
5060SIPUm sistema telefónico estilo Asterisk
Feito para tráfego hostil
Regras que cada sensor cumpre.
Impostas por testes, não apenas escritas.
- Nada executa. Os comandos falsos devolvem saída fixa ou gerada. O que o atacante escreve nunca chega a uma shell real.
- Nada é descarregado. Um comando de download regista apenas o URL.
- Sem tráfego de saída. Um sensor aceita ligações e nunca faz nenhuma.
- Limites em todo o lado. Limites de ligações por sensor e por origem, timeouts em cada leitura e um tamanho máximo para cada campo capturado.
- Porta própria para a fila. Cada sensor só pode escrever no seu próprio fluxo.
- Uma identidade credível. Nada que um cliente veja menciona o projeto.
- Contentores endurecidos. Sem root, só de leitura, sem nenhuma capacidade e com limites de memória e de processos.
Payloads
O malware vai para quarentena. Nunca para uma shell.
Um coletor separado pode ir buscar um URL registado, através da VPN, com limites de tamanho e de tempo. Está desligado por defeito: é você que o liga.
- Guardado pelo seu SHA-256, só de leitura, nunca executado.
- Apenas análise estática: tipo de ficheiro, strings, regras YARA, desofuscação de scripts.
- Os servidores de comando que ele contacta são extraídos e também podem ser denunciados.
amostra
exemplo falso
- sha256
- 4c1f9e0a…d27b5e83
- tipo
- ELF 32-bit, ARM
- de
- http://198.51.100.23/arm7
- descarregado
- através do túnel VPN
- yara
- mirai_generic (grave)
- c2
- 203.0.113.200:23
- estado
- em quarentena · modo 0400
Ponha-os na internet.
O router encaminha a porta padrão de cada serviço para a máquina, e o instalador imprime a tabela exata. Nunca encaminhe a porta do painel nem a sua porta SSH de administração.