SuckerPotСеть SuckerPot
Много ханипотов. Одна жалоба.
Один ханипот видит одну атаку. Многие видят закономерность. Узлы объединяют то, что наблюдают, поэтому плохой хост сообщается один раз с более сильными доказательствами, а не много раз со слабыми.
Что это
Пул, к которому можно присоединиться и выйти в любой момент.
- По желанию. Узел, который не присоединился, ничего не отправляет.
- Без аккаунта и почты. Узел это в лучшем случае необязательный псевдоним.
- Передаются только факты, которые содержала бы жалоба. Хаб никогда не хранит адрес узла.
- Ссылки на вредоносное ПО, замеченные несколькими узлами, уходят в abuse.ch после проверки человеком.
- Выход занимает один клик или одну команду.
Консенсус
Один узел никогда не может ничего опубликовать.
Отравление означает отправку ложных наблюдений, чтобы внести невиновный адрес в список. Цель подтверждается, только когда выполнены все условия ниже. Числа это значения по умолчанию, которые может изменить оператор хаба.
Это делает отравление дорогим, но не невозможным: терпеливый оператор с достаточным числом добросовестных узлов всё равно может протащить ложную цель. Последний барьер это проверка жалоб человеком.
- Минимум 5 подходящих узлов видели её.
- Наблюдения приходят минимум из двух разных дней или от 10 узлов.
- Ни одна неделя регистрации не даёт больше половины узлов, поэтому ферма, которая регистрируется разом, не может подтвердить сама.
- Адрес, замеченный 5-9 узлами, также требует сигнала о плохой репутации из внешнего источника, иначе нужны 10 узлов.
- Сервер управления засчитывается только с файлом, который загрузили минимум два подходящих узла.
- Публичные резолверы, крупные домены CDN и SaaS, реестры пакетов и зарезервированные диапазоны никогда не подтверждаются.
- Подходящему узлу минимум 14 дней, и он отправлял данные минимум в 7 из последних 14 дней.
Отключения
Сработала ли жалоба?
SuckerPot может следить за целями из ваших жалоб: отдаётся ли ещё файл вредоносного ПО, отвечает ли атакующий адрес, сколько заняло отключение. Отслеживание необязательно и по умолчанию выключено.
Никогда не охотится в ответ
| Цель | Связь? |
|---|---|
| URL вредоносного ПО, который отдал образец сборщику | Да, один ограниченный запрос через VPN, так же как первая загрузка. |
| Сервер управления (C2) | Никогда. Ни соединения, ни пинга, ни сбора баннеров. |
| IP-адрес атакующего | Никогда. Ни соединения, ни пинга, ни traceroute. |
| Любой хост, для сканирования портов или обратного поиска | Никогда. |
Что вы видите
- У каждой цели одно состояние, показанное иконкой и словом: ещё работает, отдаёт новый файл, недоступна или неизвестно.
- Одна неудачная проверка никогда не означает «недоступен». URL недоступен, когда его две последние проверки совпадают и разнесены достаточно далеко.
- Время до отключения это окно, например «недоступен между 14:00 и 20:00, через 19 часов после жалобы».
- Страница «Результаты» считает отключения в течение 48 часов, только по целям, которые наблюдались все 48 часов.
- Провайдеры, которые отвечают, и те, что игнорируют жалобы, показаны рядом.
Жалобы и отслеживание идут по анонимному пути через VPN. Подтверждённые хосты вредоносного ПО и серверы управления также могут уйти в abuse.ch, где URLhaus и ThreatFox публикуют их для всех. Это выключено по умолчанию, и человек проверяет каждую отправку.
Добавьте свои датчики в пул.
Присоединение не даёт вам закрытого списка и раннего доступа. Оно делает бесплатные списки быстрее и точнее для всех.