El señuelo (honeypot) de IT Encore es un servidor expuesto a Internet que finge tener 192 servicios vulnerables. No aloja nada real: todo lo que le llega es tráfico no solicitado, es decir, escaneos y ataques. Así se observa en directo cómo y desde dónde se ataca cualquier máquina conectada a Internet.
Cómo funciona
1Llega una conexión
Un atacante o un escáner abre una conexión TCP contra uno de los puertos señuelo. Nadie legítimo tiene motivo para hacerlo: el sensor no ofrece ningún servicio real.
2Banner cebo
En los puertos más golpeados (SSH, FTP, Telnet, MySQL, Redis…) el sensor responde con un banner falso de un servicio conocido para que el atacante siga interactuando y muestre sus intenciones.
3Se lee, nunca se ejecuta
Se capturan hasta 4 KB de lo que envía el atacante (credenciales, comandos, exploits). El sensor solo lee y registra: no interpreta ni ejecuta nada, y cierra la conexión en pocos segundos.
4Clasificación
El payload se compara con firmas de ataque conocidas (Log4Shell, inyección SQL, inyección de comandos, path traversal, escáneres…) y se le asigna una categoría.
5Geolocalización
La IP pública de origen se geolocaliza (país, ciudad, coordenadas) con una caché local para pintar el mapa y los rankings por país.
6Registro y publicación
Cada evento se guarda en una base de datos local y alimenta en tiempo real el mapa, el informe, las listas de IPs maliciosas y la API pública.
Puertos señuelo abiertos · 192 TCP
Cada chip es un puerto que el sensor mantiene a la escucha ahora mismo, junto al servicio que simula. En todos ellos el sensor acepta la conexión TCP (para un escáner aparecen como abiertos), lee lo que envía el atacante y cierra; en 11 de ellos además responde con un banner cebo (tabla más abajo). Los marcados vía proxy los atiende el servidor web frontal: cualquier petición web dirigida a la IP o a un dominio que no es nuestro se reenvía al señuelo y se registra como ataque.
🔐Acceso remoto25 puertos
Consolas y escritorios remotos: el objetivo favorito de la fuerza bruta.
22 · SSH23 · Telnet500 · IKE/VPN512 · exec513 · login1194 · OpenVPN1604 · Citrix1723 · PPTP2222 · SSH-alt2323 · Telnet-alt3389 · RDP4489 · RDP-alt4500 · IPsec-NAT4899 · Radmin5555 · ADB/Android5632 · PCAnywhere5900 · VNC5901 · VNC-15985 · WinRM5986 · WinRM-S6000 · X116001 · X1112345 · NetBus23023 · Telnet33389 · RDP-alt
🌐Web, proxies y paneles37 puertos
Servidores web, proxies abiertos y paneles de administración.
80 · HTTP (vía proxy)81 · HTTP-alt443 · HTTPS (vía proxy)1080 · SOCKS2082 · cPanel2083 · cPanel2087 · WHM3000 · Grafana3128 · Squid5000 · UPnP/API5001 · API5601 · Kibana7001 · WebLogic7443 · Oracle-WL7657 · Tor8000 · HTTP-alt8001 · HTTP-alt8008 · HTTP-alt8009 · AJP8010 · HTTP-alt8025 · Mailhog8081 · HTTP-alt8181 · HTTP-alt8200 · Vault8443 · HTTPS-alt8500 · Consul8686 · JMX8728 · MikroTik-API8765 · WebSocket8787 · RStudio8888 · HTTP-alt9000 · SonarQube/PHP-FPM9001 · Tor/Supervisor9060 · WebSphere9090 · Prometheus9443 · HTTPS-alt10000 · Webmin
🗄️Bases de datos y colas32 puertos
Motores de datos que suelen exponerse sin contraseña.
523 · IBM-DB21433 · MSSQL1434 · MSSQL1521 · Oracle1883 · MQTT2379 · etcd2480 · OrientDB3299 · SAP3306 · MySQL3307 · MySQL4567 · Galera5432 · PostgreSQL5672 · AMQP5984 · CouchDB6379 · Redis7000 · Cassandra7474 · Neo4j8083 · InfluxDB8086 · InfluxDB8091 · Couchbase8123 · ClickHouse9042 · Cassandra9092 · Kafka9200 · Elasticsearch9300 · Elastic-node11211 · Memcached11300 · Beanstalk15672 · RabbitMQ-UI27017 · MongoDB27018 · MongoDB28017 · MongoDB-UI50000 · SAP/DB2
✉️Correo8 puertos
Servicios de correo: relés abiertos y robo de buzones.
25 · SMTP26 · SMTP110 · POP3143 · IMAP465 · SMTPS587 · SMTP-sub993 · IMAPS995 · POP3S
📂Ficheros y directorio26 puertos
Compartición de ficheros, transferencia y directorios corporativos.
20 · FTP-data21 · FTP69 · TFTP88 · Kerberos111 · RPC135 · MSRPC137 · NetBIOS139 · NetBIOS389 · LDAP445 · SMB515 · printer541 · UUCP548 · AFP631 · IPP636 · LDAPS873 · rsync989 · FTPS990 · FTPS1025 · MS-RPC2049 · NFS3260 · iSCSI3268 · LDAP-GC3690 · SVN8545 · Ethereum-RPC9100 · Printer/Node9418 · Git
☁️Virtualización, contenedores y cloud14 puertos
APIs de orquestación que, abiertas, entregan el servidor entero.
902 · VMware1099 · Java-RMI2375 · Docker2376 · Docker-TLS2377 · Swarm6443 · Kubernetes7077 · Spark8006 · Proxmox8020 · Hadoop8088 · Hadoop-YARN8140 · Puppet8333 · Bitcoin10250 · Kubelet50070 · Hadoop-NN
🏭Industrial, IoT y red50 puertos
Protocolos industriales, cámaras, routers y equipos de red.
79 · Finger102 · S7/SCADA123 · NTP161 · SNMP179 · BGP502 · Modbus514 · syslog520 · RIP554 · RTSP623 · IPMI666 · Doom789 · Redlion1200 · IoT1234 · IoT1337 · WASTE1900 · UPnP2000 · Cisco2404 · IEC-1042455 · IoT3541 · IoT4022 · UDP-relay4444 · Metasploit4786 · Cisco-Smart5006 · IoT5038 · Asterisk5060 · SIP5222 · XMPP5353 · mDNS6666 · IRC6667 · IRC6668 · IRC7070 · RTSP-alt7547 · TR-0697777 · IoT/Game8291 · MikroTik9530 · IoT-cam9999 · IoT16992 · Intel-AMT20547 · IoT25565 · Minecraft27015 · Steam32764 · Router-backdoor37777 · Dahua-DVR44818 · EtherNet/IP47808 · BACnet49152 · UPnP52869 · UPnP-exploit54321 · IoT55553 · Metasploit60001 · IoT
Banners cebo
Respuesta que recibe el atacante nada más conectar. Imita software real para provocar el envío de credenciales o exploits.
| Puerto | Servicio simulado | Banner |
|---|
| 21 | FTP | 220 (vsFTPd 3.0.5)⏎ |
| 22 | SSH | SSH-2.0-OpenSSH_9.6p1 Debian-3⏎ |
| 23 | Telnet | ⏎ Ubuntu 22.04.3 LTS⏎ login: |
| 25 | SMTP | 220 mail.local ESMTP Postfix⏎ |
| 110 | POP3 | +OK POP3 ready⏎ |
| 143 | IMAP | * OK IMAP4rev1 Service Ready⏎ |
| 2375 | Docker | HTTP/1.1 200 OK⏎ Content-Type: application/json⏎ ⏎ |
| 3306 | MySQL | J...⏎ 5.7.40. |
| 5900 | VNC | RFB 003.008⏎ |
| 6379 | Redis | -NOAUTH Authentication required.⏎ |
| 9200 | Elasticsearch | HTTP/1.1 200 OK⏎ Content-Type: application/json⏎ ⏎ {"name":"es-node-1" |
Qué se registra de cada intento
- IP y puerto de origen, puerto y servicio señuelo atacado, fecha y hora en UTC.
- Método, ruta y User-Agent si es una petición web; usuario y contraseña si intentó autenticarse.
- Los primeros 1.500 caracteres del payload (texto plano, sin binarios) y la categoría asignada.
- País, ciudad y coordenadas aproximadas de la IP de origen.
Categorías de ataque
Log4ShellSQL injectionCommand injectionShellshockPath traversalXSSConfig/secret grabCMS/web exploitRedis attackCrypto minerMalware dropperEscaner automatizadoEscaneo de puertosFuerza bruta SSHFuerza bruta Telnet/IoTRobo de credencialesSondeo de base de datosContenedores expuestosReconocimiento webSonda desconocida
Seguridad y privacidad
El sensor está aislado del resto de sistemas de IT Encore y de los clientes. Nunca ejecuta lo que recibe, no responde a los atacantes más allá de banners estáticos y no realiza conexiones de vuelta. Solo se publican datos de quien ataca (IPs y payloads); no hay datos de clientes ni de usuarios legítimos porque ningún usuario legítimo usa este servidor.
Salidas del sensor
