Ética

Esta bitácora cuenta lo que cae en un honeypot. Para poder contarlo sin hacer daño, hay unas reglas fijas. Son estas.

El cebo es mío. El honeypot corre sobre infraestructura propia, montada y pagada para este fin. Nada de lo que se analiza aquí se salió a buscar: cada muestra llegó sola, atacando una máquina mía. No hay víctimas de terceros por medio, ni datos ajenos, ni sistemas que no me pertenezcan.

El análisis empieza en frío y, cuando hace falta, sigue en una jaula. Las muestras se abren primero con el desensamblador: se leen sus cadenas, se reconstruye su lógica. Cuando eso no basta, se ejecutan — pero en una máquina aislada, sin salida a la red, que se revierte al terminar. Nunca en el cebo y nunca contra nadie: observar no es soltar. Cuando un capítulo enseña una consola, es el registro de lo que el atacante hizo en el cebo o de lo que la muestra hizo dentro de la jaula, y se dice cuál de las dos.

Los binarios no se distribuyen. De cada espécimen se publica su hash, suficiente para identificarlo o buscarlo en los servicios de análisis. El fichero en sí no se comparte, ni entero ni por partes: esta bitácora documenta malware, no lo reparte.

La ubicación del cebo no se publica. Ni la dirección, ni el proveedor, ni ninguna pista que permita encontrarlo. Un honeypot señalado deja de servir, y lo que capta dejaría de ser espontáneo.

El reconocimiento observa, no ataca de vuelta. Cuando un capítulo sigue el rastro de una infraestructura de mando, se limita a mirar lo que está expuesto públicamente: resolver nombres, leer banners, consultar registros. No se explota nada, no se entra en ningún sitio, no se devuelve el golpe.

Los IOCs se publican reales. Direcciones, dominios, rutas y hashes van tal cual, porque su valor está en servir para detectar. Un matiz: las IPs de origen rara vez son la máquina del atacante — lo normal es que sean equipos de terceros ya comprometidos, atacando sin que sus dueños lo sepan. Se publican igualmente como indicadores, como hace toda la industria: señalarlas es el primer paso para que alguien las limpie. La excepción son las URLs de descarga de payload que puedan seguir vivas: esas van neutralizadas (hxxp, [.]) para que nadie las siga por accidente.

Esto no es asesoramiento profesional. Es una bitácora personal: lo que se cuenta puede contener errores o quedarse anticuado. Si algo de aquí afecta a tu infraestructura, contrástalo con tus propias fuentes antes de actuar.

¿Has visto un error, o tienes algo que reportar? Escríbeme: hola@efespain.com.