Honeypots on Pablo Seoane · Pentester & Security Researcher

Informe Semanal de Threat Intelligence — Honeypot T-Pot (2–9 agosto 2026)

Mon, 10 Aug 2026 00:00:00 +0000

Quinto informe semanal del honeypot T-Pot, período 2–9 de agosto de 2026. El volumen sube a ~2.814.000 eventos. El botnet residencial de ConPot alcanza su tercera semana consecutiva con alcance ya global (NTT DOCOMO, Wind Tre, Bouygues Telecom suman a los ya conocidos Comcast, AT&T, Charter). RDPHoneypot casi iguala su máximo histórico impulsado por un nuevo actor: Datacamp Limited. En Cowrie aparece por primera vez una oleada de credenciales temáticas de criptomonedas y una nueva familia de malware nombrada iran. Y la campaña de Adbhoney que seguimos desde el primer informe —110→228→287→102 descargas— se cierra definitivamente.

Período analizado: 2 – 9 de agosto de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente a internet Clasificación: Uso en portfolio / TLP:CLEAR Informes anteriores: 7–11 jul · 12–18 jul · 19–25 jul · 26 jul–2 ago

Informe Semanal de Threat Intelligence — Honeypot T-Pot (26 jul – 2 ago 2026)

Mon, 03 Aug 2026 00:00:00 +0000

Cuarto informe semanal del honeypot T-Pot, período 26 de julio – 2 de agosto de 2026. Con cuatro semanas de datos acumuladas, los patrones dejan de ser anecdóticos y se convierten en tendencias: el botnet SNMP residencial de ConPot se confirma por segunda semana consecutiva (Comcast, AT&T, Verizon, Charter sin un solo VPS en el top 10), la IP 91.199.133.133 catalogada en ThreatFox como C2 de Mirai Katana reaparece sirviendo payloads en Cowrie, Redtail añade arquitectura RISC-V, y la campaña de fuerza bruta contra software ERP turco en Dionaea se confirma con una segunda semana de datos consistentes.

Período analizado: 26 de julio – 2 de agosto de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR Informes anteriores: 7–11 jul · 12–18 jul · 19–25 jul

Informe Semanal de Threat Intelligence — Honeypot T-Pot (19–25 julio 2026)

Sun, 26 Jul 2026 00:00:00 +0000

Tercer informe semanal del honeypot T-Pot, período 19–25 de julio de 2026. El volumen total baja a ~1.820.000 eventos (la mitad que la semana anterior), pero el dato relevante no es el total sino la composición: ConPot se dispara x27 con origen en ISPs residenciales (Comcast, AT&T, Virgin Media, Free SAS) — la firma de un botnet de routers domésticos atacando SNMP, un actor cualitativamente distinto a todo lo visto hasta ahora. Mientras tanto, Flyservers S.A. colapsa en RDP, el mismo payload de Adbhoney lleva tres semanas creciendo, y Dionaea detecta fuerza bruta dirigida específicamente a software de contabilidad turco sobre MSSQL.

Período analizado: 19 – 25 de julio de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR Informes anteriores: semana 7–11 jul · semana 12–18 jul

Informe Semanal de Threat Intelligence — Honeypot T-Pot (12–18 julio 2026)

Sun, 19 Jul 2026 00:00:00 +0000

Segundo informe semanal del honeypot T-Pot, período 12–18 de julio de 2026. El volumen total se dispara a ~3.213.000 eventos (x3,2 respecto a la semana anterior), pero el crecimiento no es homogéneo: está casi enteramente explicado por dos sensores — RDPHoneypot x20,7 con Flyservers S.A. como origen dominante, y Sentrypeer x9,3 con un cambio de objetivo hacia numeración del Reino Unido. Se confirman además actores recurrentes en múltiples sensores y un nuevo loader compilado para arquitecturas poco habituales (loongarch64, m68k).

Período analizado: 12 – 18 de julio de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR Informe anterior: semana del 7–11 de julio de 2026

Informe Semanal de Threat Intelligence — Honeypot T-Pot (7–11 julio 2026)

Sun, 12 Jul 2026 00:00:00 +0000

Primer informe semanal del honeypot T-Pot. Durante la semana del 7 al 11 de julio de 2026 se registraron aproximadamente 1.011.000 eventos de ataque distribuidos en 10 sensores activos. Lo más destacado: malware Redtail multi-arquitectura capturado en Cowrie, una cadena de infección Android completa en Adbhoney (Rebirth → minero UFO → botnet Trinity), escaneo activo de servicios de IA expuestos (Ollama, Gradio, Streamlit) y sondeo del protocolo IEC-104 usado en subestaciones eléctricas europeas.

Período analizado: 7 – 11 de julio de 2026 Fuente: T-Pot (multi-honeypot + ELK Stack) — instancia expuesta públicamente en internet Clasificación: Uso en portfolio / TLP:CLEAR

Capturé una muestra del botnet Rebirth en mi honeypot: esto es lo que até cabos

Thu, 09 Jul 2026 00:00:00 +0000

Revisando el tráfico de mi honeypot T-Pot encontré algo más interesante que el típico intento de fuerza bruta SSH: una cadena de infección completa, capturada en vivo, que resultó ser una variante del botnet Rebirth, de la familia Mirai/Gafgyt. Este post cuenta qué capturé exactamente, cómo até cabos para identificarlo, y qué dice la comunidad de seguridad sobre esta familia — dejando claro en cada parte qué es observación directa mía y qué es investigación de terceros.

Lo que Capturé (esto sí es mío)
#

El honeypot que registró esto fue Adbhoney, uno de los sensores de T-Pot que simula el protocolo ADB (Android Debug Bridge) — el sistema de depuración remota de Android, que expuesto a internet sin autenticación es una puerta de entrada trivial para bots automatizados.

Monté un honeypot y voy a contar cada semana lo que veo

Wed, 08 Jul 2026 00:00:00 +0000

Voy a exponer un servidor a internet a propósito para que lo ataquen — y luego contarlo aquí, cada semana. Sin simulaciones ni datos de laboratorio: tráfico malicioso real, de internet real, contra un servidor que no hace nada más que esperar a que alguien intente entrar.

Qué es esto
#

Este blog documenta lo que un honeypot — un sistema señuelo diseñado para parecer vulnerable y atraer ataques — detecta en tiempo real, semana a semana.