T-Pot : honeypot et pipeline CTI

Contexte

J'expose une sonde T-Pot (édition Hive, 33 services leurres : SSH, Telnet, HTTP, SMB, RDP, bases de données, équipements IoT) sur un VPS chez PulseHeberg, en région marseillaise. Le but : voir de près le bruit de fond offensif d'Internet.

L'administration (Kibana, Elasticsearch) n'est joignable qu'à travers un tunnel WireGuard. Aucune interface de gestion n'est exposée.

Pipeline d'analyse

Un script, track_hashes.sh, tourne en tâche planifiée :

1. extraction des artefacts capturés par les honeypots (binaires, URLs, hachages) ;
2. enrichissement via les API VirusTotal et Hybrid Analysis ;
3. passe YARA pour la classification ;
4. rétro-ingénierie des charges intéressantes sous Ghidra.

Le résultat est consolidé dans un jeu d'IOC (IP, domaines, hachages, règles) réutilisable pour la détection.

Résultats

• Base d'IOC passée de 62 à plus de 250 entrées en quelques semaines.
• Familles identifiées : WannaCry (propagation SMB via MS17-010), une variante Mirai RedTail (botnet IoT, cryptominage), et un loader Multiverze.
• Vecteurs dominants : force brute SSH, puis scan Telnet (Mirai) et exploitation de services web exposés.

Bilan

Une chaîne CTI complète, de la collecte à la diffusion des IOC, et une idée bien plus concrète de ce qui frappe une IP publique au quotidien.