Durante ochenta y seis días tuve dos honeypots expuestos en Oracle Cloud: un Cowrie con un nginx que lo acepta todo, y un Beelzebub haciéndose pasar por Redis, Docker, Elasticsearch, Postgres, MySQL y …
El cierre de la serie: diez millones de eventos y dieciséis mil atacantes resumidos en lo que de verdad aprendí, y en lo que el honeypot hizo mal. La cadena de custodia y por qué importa, los tres …
Ciento cuatro mil peticiones web en ochenta y seis días, y la que más se repitió no fue un exploit: fue pedir el archivo .env, veintiún mil veces, desde doscientas cincuenta y siete IPs. La web no …
Un instalador que, cuando no logra inventar un nombre al azar, llama a su binario ‘redtail’ y así se delata; una llave SSH que 2.029 máquinas distintas empujan al mismo authorized_keys; …
Un bot ARM que llegó catorce veces en cuatro semanas sin que su autor le quitara los símbolos: el menú de ataques creciendo hacia Fortnite y Cloudflare, un escáner que carga 123 credenciales y prueba …
Treinta y ocho comandos en poco más de dos segundos para comprobar si mi servidor sabía multiplicar. No sabía. Esta entrega reúne todas las formas en que los visitantes de mis honeypots intentaron …
Una IP de Oracle Cloud pasó tres días cazando credenciales de OCI en mis honeypots: la web, la API de Docker, Postgres, VNC y al final SSH. No traía un exploit: traía preguntas. Leyó lo que el señuelo …
A las 08:19 el MFA dijo que sí, y dijo bien: la persona correcta aprobó desde el teléfono correcto. Veintiún minutos después el atacante estaba dentro de la VPN con la sesión de esa persona, y no …
El atacante ofusca su script de PowerShell para que en el disco no se lea nada: Base64, cadenas partidas, todo ilegible. Pero el motor no ejecuta Base64 — ejecuta texto plano, y para eso tiene que …
El DNS es el único puerto que ningún firewall se anima a cerrar del todo, porque cerrarlo es apagar internet y que te llamen a las tres de la mañana. Por eso es el canal encubierto perfecto: los datos …