SuckerPotДатчики
Двенадцать дверей. Все поддельные.
Каждый сервис отвечает правдоподобными баннерами и версиями, поэтому боты заходят дальше, чем простое сканирование портов. Он записывает, что они делают, и ничего из этого не запускает.
Двенадцать
Четыре семейства, по одному цвету.
Установщик включает шесть по умолчанию; --sensors all включает все двенадцать. В панели название и иконка отличают их друг от друга, поэтому цвет никогда не работает один.
- Удалённые оболочки
- Веб и API
- Базы данных
- Windows и VoIP
Создан для враждебного трафика
Правила, которым следует каждый датчик.
Проверяются тестами, а не только записаны.
- Ничего не запускается. Поддельные команды возвращают заготовленный или сгенерированный вывод. Ввод атакующего никогда не попадает в настоящую оболочку.
- Ничего не загружается. Команда загрузки только записывает URL.
- Никакого исходящего трафика. Датчик принимает соединения и никогда не устанавливает их сам.
- Ограничения везде. Лимиты соединений на датчик и на источник, таймауты на каждое чтение, ограничение размера каждого записанного поля.
- Свой вход в очередь. Каждый датчик может писать только в свой поток.
- Правдоподобная личность. Ничто, что видит клиент, не называет проект.
- Закалённые контейнеры. Не root, только для чтения, все capabilities сброшены, с лимитами памяти и процессов.
Полезные нагрузки
Вредоносное ПО уходит в карантин. Никогда в оболочку.
Отдельный сборщик может загрузить записанный URL через VPN, с лимитами размера и времени. По умолчанию он выключен: включаете вы.
- Хранится под своим SHA-256, только для чтения, никогда не запускается.
- Только статический анализ: тип файла, строки, правила YARA, деобфускация скриптов.
- Серверы управления, с которыми он связывается, извлекаются и тоже могут быть включены в жалобу.
- sha256
- 4c1f9e0a…d27b5e83
- тип
- ELF 32-bit, ARM
- откуда
- http://198.51.100.23/arm7
- загружен
- через туннель VPN
- yara
- mirai_generic (серьёзно)
- c2
- 203.0.113.200:23
- состояние
- на карантине · режим 0400
Выведите их в интернет.
Роутер пробрасывает стандартный порт каждого сервиса на машину, а установщик печатает точную таблицу. Никогда не пробрасывайте порт панели или свой административный SSH-порт.