Informe de ataques — semana del 24 de julio

Cada semana publico lo que le pasa de verdad a esta tienda: quién intenta entrar, con qué y qué se encuentra. Todos los datos salen de la telemetría propia de 0xthug.com, medida en los últimos 7 días.

Los números

• 154 peticiones maliciosas detectadas y bloqueadas por el WAF
• 232 intentos fallidos de entrar al panel de administración
• 22 sesiones dentro del honeypot
• 0 canary tokens disparados

Qué intentaron

• IP ya bloqueada: 127
• sondas de ficheros sensibles: 20
• path traversal: 5
• bloqueo por país: 2

Los payloads más repetidos

Tal cual llegaron, sin retocar:

  10x  /

   2x  /.github/workflows/ci.yml

   2x  /etc/passwd

   2x  /.github/workflows/main.yml

   1x  /secrets/config.json

   1x  /.github/CODEOWNERS

   1x  /.github/workflows/ci-push.yml

   1x  /.github/workflows/test.yml

Con qué herramientas

• Secur0-Krypt3d-nuclei — 67
• TLM-Audit-Scanner/1.0 — 62
• Secur0-Krypt3d-Bash — 10
• Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:140.0) Gecko/20100101 Firefox/140.0 — 7
• Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.5 Safari/605.1.15 — 3

El user-agent no es de fiar (se falsea en un segundo), pero cuando alguien deja el de su herramienta puesto, te está diciendo qué usa.

De dónde venían

• 🇪🇸 ES: 77
• 🇺🇸 US: 13
• 🇷🇺 RU: 1
• 🇻🇳 VN: 1

Geolocalización por GeoIP propio en el servidor, sin depender de terceros. Con VPN de por medio, tómatelo como orientativo.

Fuerza bruta al panel

232 intentos fallidos. Las IP más insistentes:

• 62.175.38.14 — 27 intentos
• 188.26.218.241 — 23 intentos
• 79.117.165.17 — 23 intentos
• 83.49.128.86 — 20 intentos
• 47.63.195.161 — 18 intentos

Ninguno entró: el login corta a los 5 intentos por cuenta cada 5 minutos, así que un ataque por diccionario no tiene por dónde avanzar.

Conclusión

Esta semana el ruido de fondo habitual: escaneo automatizado buscando ficheros que no existen. Nada que rascar.

Si te dedicas a esto y quieres buscar de verdad, hazlo donde se puede: en Secur0 hay programas de bug bounty con permiso y reglas claras.