Metodologia

TroyanosYVirus utiliza uma rede distribuida de sensores **honeypot** (sistemas de engodo) implementados em multiplas localizacoes geograficas para atrair, detetar e analisar ciberataques em tempo real. Um honeypot e um sistema informatico configurado para parecer um alvo legitimo e atrativo para os atacantes. Quando um atacante interage com o honeypot, todas as suas acoes sao registadas e analisadas, fornecendo informacoes valiosas sobre: - **Vetores de ataque** atualmente utilizados - **IPs maliciosos** e a sua geolocalizacao - **Credenciais** testadas em ataques de forca bruta - **Malware** implementado pelos atacantes - **Comandos** executados apos obter acesso

Implementamos varios controlos para garantir a qualidade dos dados: - **Deduplicacao**: Removemos eventos duplicados do mesmo ataque - **Validacao de IPs**: Verificamos que os IPs sao publicos e validos - **Filtragem de ruido**: Excluimos scans benignos conhecidos (Shodan, Censys, etc.) - **Verificacao de malware**: Os hashes sao verificados com o VirusTotal - **Atualizacao continua**: Os dados sao atualizados a cada minuto

E essencial compreender as limitacoes inerentes aos dados de honeypots para a sua correta interpretacao: - **Vies geografico**: A localizacao dos sensores afeta quais ataques sao capturados e quais ficam fora do alcance de detecao - **Ataques direcionados**: Ataques muito sofisticados podem detetar e evadir honeypots, ficando sub-representados nos dados - **Volume vs. impacto**: Um volume alto de ataques de um IP nem sempre significa maior perigo; podem ser scans automatizados de baixo impacto - **Atribuicao**: Os IPs detetados podem ser proxies, VPNs, nos Tor, maquinas comprometidas ou infraestrutura CDN. A presenca de um IP nao implica que o seu titular seja responsavel pela atividade maliciosa - **Falsos positivos**: Alguns scans legitimos de seguranca (investigadores, motores de busca, servicos de monitorizacao) podem ser incorretamente classificados como ataques - **Dados automatizados**: Todo o processo de recolha, enriquecimento e pontuacao e automatizado, podendo introduzir erros sistematicos - **Sem atribuicao definitiva**: Os dados desta plataforma nao devem ser utilizados como unica fonte para atribuir atividade criminosa a qualquer pessoa ou entidade

Seguimos principios eticos na nossa investigacao: - **Sem interacao ofensiva**: Os nossos sistemas sao passivos, nunca atacamos de volta - **Dados publicos**: So publicamos IPs que realizaram atividade maliciosa verificavel - **Privacidade**: Nao recolhemos dados pessoais de utilizadores legitimos - **Responsabilidade**: Os dados sao fornecidos "tal como estao" sem garantias - **Uso legitimo**: Os dados destinam-se a investigacao e defesa, nao a retaliacao