Metodología

TroyanosYVirus utiliza una red distribuida de sensores **honeypot** (sistemas señuelo) desplegados en múltiples ubicaciones geográficas para atraer, detectar y analizar ataques cibernéticos en tiempo real. Un honeypot es un sistema informático configurado para parecer un objetivo legítimo y atractivo para los atacantes. Cuando un atacante interactúa con el honeypot, todas sus acciones son registradas y analizadas, proporcionando valiosa inteligencia sobre: - **Vectores de ataque** utilizados actualmente - **IPs maliciosas** y su geolocalización - **Credenciales** probadas en ataques de fuerza bruta - **Malware** desplegado por atacantes - **Comandos** ejecutados tras obtener acceso

Implementamos múltiples controles para garantizar la calidad de los datos: - **Deduplicación**: Eliminamos eventos duplicados del mismo ataque - **Validación de IPs**: Verificamos que las IPs son públicas y válidas - **Filtrado de ruido**: Excluimos escaneos benignos conocidos (Shodan, Censys, etc.) - **Verificación de malware**: Los hashes se comprueban contra VirusTotal - **Actualización continua**: Los datos se actualizan cada minuto

Es fundamental entender las limitaciones inherentes a los datos de honeypots para su correcta interpretación: - **Sesgo geográfico**: La ubicación de los sensores honeypot afecta qué ataques se capturan y cuáles quedan fuera del alcance de detección - **Ataques dirigidos**: Los ataques muy sofisticados o dirigidos pueden detectar y evadir honeypots, quedando infrarrepresentados en los datos - **Volumen vs. impacto**: Un alto volumen de ataques desde una IP no siempre implica mayor peligrosidad; puede tratarse de escaneos automatizados de bajo impacto - **Atribución**: Las IPs detectadas pueden ser proxies, VPNs, nodos Tor, máquinas comprometidas o infraestructura CDN. La presencia de una IP no implica que su titular sea responsable de la actividad maliciosa - **Falsos positivos**: Algunos escaneos legítimos de seguridad (investigadores, motores de búsqueda, servicios de monitorización) pueden clasificarse incorrectamente como ataques - **Datos automatizados**: Todo el proceso de recopilación, enriquecimiento y puntuación es automatizado, lo que puede introducir errores sistemáticos - **Sin atribución definitiva**: Los datos de esta plataforma no deben utilizarse como única fuente para atribuir actividad delictiva a ninguna persona o entidad

Seguimos principios éticos en nuestra investigación: - **No interacción ofensiva**: Nuestros sistemas son pasivos, nunca atacamos de vuelta - **Datos públicos**: Solo publicamos IPs que realizaron actividad maliciosa verificable - **Privacidad**: No recopilamos datos personales de usuarios legítimos - **Responsabilidad**: Los datos se proporcionan "tal cual" sin garantías - **Uso legítimo**: Los datos están destinados a investigación y defensa, no a represalias