O scanner encontra
Um serviço exposto, uma tecnologia, uma CVE provável — e o exploit.
honeypot.xlabs.com.br CONFIDENCIAL
XLabs Honeypot
HACK THE HACKERS.
- Eles escaneiam sua infraestrutura.
- Procuram CVEs.
- Testam credenciais.
- Buscam painéis administrativos.
- Enviam payloads.
- Tentam encontrar alguma coisa vulnerável.
Então entregue exatamente o que eles vieram buscar.
Só que não onde o atacante imagina.
O XLabs Honeypot cria superfícies de ataque falsas, aplicações vulneráveis controladas e ambientes de deception que atraem scanners, bots e operadores humanos. O atacante acredita que encontrou uma vulnerabilidade; você passa a ver quem ele é, o que procura e como pretende atacar.
Hackers estudam sua superfície. Agora sua superfície estuda os hackers.
Eles querem uma vulnerabilidade.
Nós damos uma.
Um scanner encontra um serviço exposto. Identifica uma tecnologia. Aponta uma CVE provável. Envia o exploit. A aplicação responde como um alvo vulnerável. O atacante continua.
- Novos requests.
- Novos payloads.
- Novas técnicas.
- Novas tentativas.
O atacante acredita que está comprometendo o ambiente. Na realidade, está alimentando sua Threat Intelligence.
A isca responde
A isca responde com o comportamento do produto real: mesma tela, mesmos campos, mesmos headers. O atacante insiste, e nada do que ele envia é executado.
Você observa
Tudo isso acontece numa superfície construída para observar o atacante. Cada tentativa fica registrada: origem, ferramenta, payload e o passo seguinte.
Hack the Hackers
Inverta a assimetria do ataque.
Normalmente, o atacante escolhe quando atacar, o que testar, quais ferramentas usar, quais vulnerabilidades procurar e quanto tempo permanecer escondido. Deception muda essa relação.
Antes, o atacante escolhia
- quando atacar;
- o que testar;
- quais ferramentas utilizar;
- quais vulnerabilidades procurar;
- quanto tempo permanecer escondido.
Agora você controla
- O alvo.
- O comportamento.
- O ambiente.
O atacante passa a revelar as técnicas dentro de uma infraestrutura criada especificamente para observá-lo.
Não persiga o hacker. Faça o hacker vir até você.
C2
Command & Control para sua rede de deception.
Cada agente XLabs se conecta ao XLabs Honeypot C2, permitindo o gerenciamento centralizado de toda a infraestrutura de deception. Controle sensores distribuídos, acompanhe eventos, gerencie versões e evolua as capacidades do agente.
Um C2 criado para defender.
XLabs C2
Sensor 01GlobalProtect
Sensor 02AD FS
Sensor 03WordPress
Attack Telemetry
Threat Intelligence
One-Click Agent Update
Uma nova versão. Um clique. Toda a capacidade no sensor.
O agente não pode virar software esquecido no servidor do cliente. Quando uma nova versão estiver disponível, o administrador solicita a atualização pelo C2. Um clique. No próximo ciclo de comunicação, o agente recebe a instrução e inicia a atualização.
- Sem SSH.
- Sem RDP.
- Sem acessar individualmente cada servidor.
- Sem reinstalações manuais.
Novo exploit. Nova técnica. Nova versão. Update.
CVE Traps
Se os atacantes estão caçando uma CVE, queremos assistir à caçada.
Uma vulnerabilidade crítica é publicada. Horas depois começam os scans. Depois surgem os primeiros payloads. Logo começam as campanhas automatizadas. O XLabs Honeypot transforma CVEs em pontos de observação ofensiva.
O sensor pode reproduzir endpoints, interfaces e comportamentos esperados por ferramentas de exploração. O atacante envia o exploit. Nós capturamos a tentativa.
Sem precisar colocar uma aplicação realmente vulnerável em produção.
Personas
O atacante vê o produto que espera encontrar.
Um honeypot genérico é fácil de identificar. Uma boa deception precisa contar uma história. O XLabs Honeypot pode assumir comportamentos associados a diferentes tecnologias e superfícies.
GlobalProtect
O atacante acessa / e encontra o comportamento esperado de um appliance GlobalProtect.
/ 302 → /global-protect/login.esp
AD FS
Outra persona pode reproduzir características de um ambiente Microsoft AD FS.
SharePoint
Outra superfície pode aparentar ser uma instalação SharePoint.
WordPress
Outra pode se comportar como um WordPress exposto e potencialmente vulnerável.
Personas específicas de CVE
O agente também responde como o scanner espera quando ele procura uma vulnerabilidade específica.
Não mostramos ao atacante uma lista de iscas. Mostramos um alvo.
Payload Safe
Queremos ver o exploit. Não queremos entregar um servidor ao atacante.
O objetivo da plataforma é capturar a intenção ofensiva sem transformar o honeypot em infraestrutura utilizável contra terceiros. A tentativa é registrada. A resposta permanece coerente com o cenário de deception.
- SQL Injection
- Command Injection
- SSTI
- SSRF
- LFI
- RCE
- File Upload
- Authentication Bypass
- CVE Exploitation
Capturamos o payload. Não precisamos executar o ataque real.
See What Hackers See
E principalmente: veja o que o atacante faz depois.
Um request isolado é um log. Milhares de interações correlacionadas começam a formar Threat Intelligence.
- endereço IP
- ASN
- país
- User-Agent
- método HTTP
- URI
- parâmetros
- headers
- payload
- CVE procurada
- tipo de ataque
- severidade
- sequência de requests
- comportamento de reconnaissance
- ferramentas automatizadas
- repetição da atividade
- infraestrutura ofensiva
Threat Intelligence.
Reconnaissance Intelligence
Antes de explorar, o atacante precisa procurar.
E essa procura deixa rastros. Scanners percorrem milhares de possibilidades tentando descobrir o que existe atrás de um IP. O XLabs Honeypot transforma esse reconnaissance em telemetria.
/.env/.git/config/wp-login.php/manager/html/cli/_layouts//dana-na//global-protect//adfs/
Você começa a enxergar o que os atacantes estão procurando hoje.
Attack Intelligence Loop
O ataque contra o honeypot pode melhorar a defesa da aplicação real.
Eles atacam a isca. A isca aprende. A defesa evolui.
- Hacker
- XLabs Honeypot
- Payload Capture
- CVE / TTP / IOC
- Threat Intelligence
- SOC / SIEMXLabs WAF
Planos
Free, Pro e Enterprise. As mesmas iscas. C2 diferente.
Todos os planos entregam o catálogo completo de iscas no agente. Os limites ficam em sensores, usuários, leitura de logs e extras do C2.
Free
- Sensores ativos 1
- Usuários da empresa 2
- Leitura de logs 7 dias
- Isolamento de persona Não
- Atualização automática Não (só manual no C2)
- Captura de todo o HTTP Sempre ligada
- JA3 fingerprinting Não
- Tarpit adaptativo Não
- Alertas em tempo real Não
- API de consulta Não
- Canary tokens Não
- Tempo roubado do atacante Não
- Detecção de agentes IA Não
- Iscas e fachadas Sim
Pro
- Sensores ativos 5
- Usuários da empresa Sem teto
- Leitura de logs 90 dias
- Isolamento de persona Sim
- Atualização automática Sim
- Captura de todo o HTTP Pode desligar
- JA3 fingerprinting Sim
- Tarpit adaptativo Sim
- Alertas em tempo real Sim
- API de consulta 3 chaves
- Canary tokens Não
- Tempo roubado do atacante Não
- Detecção de agentes IA Não
- Iscas e fachadas Sim
Enterprise
- Sensores ativos Sem teto
- Usuários da empresa Sem teto
- Leitura de logs 365 dias
- Isolamento de persona Sim
- Atualização automática Sim
- Captura de todo o HTTP Pode desligar
- JA3 fingerprinting Sim
- Tarpit adaptativo Sim
- Alertas em tempo real Sim
- API de consulta 10 chaves
- Canary tokens Sim
- Tempo roubado do atacante Sim
- Detecção de agentes IA Sim
- Iscas e fachadas Sim
On-Premise Agent
A deception roda onde você precisa dela.
O XLabs Honeypot utiliza agentes que podem ser implantados em Linux ou Windows. O sensor permanece na infraestrutura definida pelo cliente. O gerenciamento ocorre pelo XLabs C2. Isso cria superfícies de deception próximas ao ambiente que o atacante espera encontrar.
Deception distribuída. Controle centralizado.
- Internet
- Attack Surface
- XLabs Honeypot Agent
- XLabs C2
- Threat Intelligence
Implantação
Três passos do token à telemetria.
-
01
Instale o sensor
O admin da empresa gera um token de instalação de uso único e instala o agente em Linux ou Windows.
-
02
Atraia o scan
O agente publica a persona e as fachadas de CVE. O scanner encontra o alvo e insiste. O payload para na camada de captura.
-
03
Leia no C2
Os eventos chegam ao console do cliente: quem é o atacante, o que procurava e como tentou atacar.
Built for Hackers.
Operated by Defenders.
Não queremos apenas bloquear uma requisição. Queremos entender:
- Por que ela chegou?
- O que estava procurando?
- Qual exploit foi utilizado?
- O que o atacante tentou depois?
- Outros sensores estão vendo a mesma campanha?
- Podemos transformar isso em proteção?
Essa é a diferença entre simplesmente registrar ataques e construir inteligência a partir deles.
Acesso
Acesse o C2 da sua operação.
Logs de ataque, sensores, personas e instalação do agente da sua empresa.
Empresas
XLabs Honeypot C2
Para o admin, o analista e o leitor da empresa: logs de ataque, sensores, atualização one-click do agente e gestão de equipe.
Acessar C2 → portal.xlabs honey-pot.netVeja os hackers trabalhando.
O honey-pot.net é o laboratório público da tecnologia XLabs. Superfícies propositalmente vulneráveis são expostas à Internet para observar scanners, bots, exploits e campanhas reais.
Abrir honey-pot.net → Atacantes da internet. Payloads reais. Telemetria real. Alvos controlados.XLabs Honeypot
HACK THE HACKERS.
Eles procuram vulnerabilidades. Nós construímos vulnerabilidades para eles encontrarem. Eles enviam exploits. Nós estudamos os exploits. Eles fazem reconnaissance. Nós observamos o reconnaissance. Eles tentam mapear a sua infraestrutura.
Enquanto isso, você mapeia a deles.
Don't just block the attacker.
Study him.