Blue Team 2026-01-28 @reeshasx

HEATMAP_ANALYSIS_V1 (Grafana + Loki Honeypot Analysis)

[ 0x00 ] INITIAL_LOG_BOOT

O que você está vendo no dashboard não é um mapa de "hackers de filme" digitando em telas verdes. É o ruído da internet. Se você levanta um IP público hoje, você não está mais "sozinho". Em menos de 60 segundos, algum script na China, na Rússia ou num datacenter em Ohio vai te encontrar e isso é o comum.

Este artigo é uma autópsia técnica do que esse calor vermelho realmente significa. A toca do coelho é feita de scripts automatizados e instâncias de nuvem mal configuradas.

[ 0x01 ] THE_CLOUD_ABUSE_BIAS

Aquele brilho intenso na Costa Leste dos EUA (regiões us-east-1) é o coração da AWS. Mas não se engane: não são os funcionários da Amazon te atacando.

O que acontece é o "Cloud-Hopping". Atacantes usam cartões de crédito clonados ou instâncias com vulnerabilidades de kernel para subir proxies de alta banda. Uma VPS de 5 dólares tem conexão de 1Gbps; seu roteador da Vivo tem... bem, você sabe. É muito mais eficiente escanear o IPv4 inteiro a partir de um backbone de datacenter do que de uma rede residencial. (A não ser que você tenha 1001 redes residenciais :p)

[ 0x02 ] THE_FLAP-D_PARADOX (EUROPE)

Londres, Amsterdã, Frankfurt, Paris e Dublin. O eixo FLAP-D é onde a internet europeia respira. A concentração de ataques aqui é puramente estatística: é onde estão os maiores IXPs (Internet Exchange Points) e os datacenters de baixa latência como Hetzner e OVH.

As botnets adoram esses caras porque a reputação do IP demora a cair. Eles conseguem disparar milhões de pacotes de brute-force antes que o provedor receba os primeiros reports de abuso e derrube a instância.

[ 0x03 ] THE_IOT_PLAGUE: MIRAI & BEYOND

Enquanto a nuvem foca em brute-force pesado, o calor no Sudeste Asiático e em São Paulo vem de algo mais... "sujo". Estamos falando de IoT Botnets.

Roteadores de padaria, câmeras IP baratas, DVRs que nunca viram um update de firmware. Malwares como Mirai, Aisuru e o recente P2PInfect (que usa exploits em Redis) transformam esses dispositivos em zumbis. Eles não têm a banda de uma AWS, mas têm o número. * Behavior: O bot entra, tenta senhas padrão (admin/admin, root/123456), se entrar, ele mata outros malwares que já estavam lá e "fecha a porta" pra ele. É uma guerra territorial pelo seu roteador.

[ 0x04 ] CASE_STUDY: SÃO_PAULO_CLUSTER

O Brasil é um dos maiores geradores de "ruído" do mundo. Em São Paulo, a densidade de conexões residenciais com configurações de segurança inexistentes é um prato cheio.

Nos nossos honeypots (Cowrie para SSH e Dionaea para malware), o primeiro hit de brute-force TCP geralmente vem em menos de 45 segundos. A maioria das tentativas foca em portas clássicas: 22 (SSH), 23 (Telnet), 3389 (RDP) e 5060 (SIP). Eles não querem seus arquivos; eles querem seu processamento para minerar Monero ou participar de um ataque DDOS massivo.

[ 0x05 ] THE_DEBUG_LOG (REAL_WORLD_EXFIL)

Aqui está o que é extraído de um ataque real. Esqueça nomes de usuários bonitinhos; os bots tentam o que é padrão em ambientes Ubuntu, Web e Admin.

No log abaixo, capturado em 2025-07-18, vemos um atacante de Hong Kong (47.238.151.234) usando libssh2_1.11.1 para realizar um brute-force em série. O tempo de conexão? Apenas 0.6 segundos. Isso indica um scanner em massa, automatizado para testar e descartar alvos em milissegundos.

2025-07-18T02:06:15+0000 [SSHTransport,47.238.151.234] login attempt [ubuntu/qwe123456] failed
2025-07-18T02:06:18+0000 [SSHTransport,47.238.151.234] login attempt [web/P@ssw0rd] failed
2025-07-18T02:07:09+0000 [SSHTransport,47.238.151.234] login attempt [adam/adam123] failed
2025-07-18T02:07:19+0000 [SSHTransport,47.238.151.234] login attempt [app/111111] failed
2025-07-18T02:07:50+0000 [SSHTransport,47.238.151.234] login attempt [demo/demo] failed

[ 0x06 ] ANOMALY_DETECTED: PUBLIC_KEY_ATTACK

Nem tudo é brute-force de senha. Atacantes mais avançados tentam injetar chaves públicas ou usar credenciais vazadas de repositórios expostos.

Recentemente, o IP 182.92.11.80 tentou uma conexão usando a public key para o usuário NL5xUDpV2xRa. O ataque foi tão agressivo ou mal-formado que chegou a causar um exceção interna no honeypot. Quando o atacante começa a tentar chaves específicas, o jogo muda: ele não está mais apenas batendo na porta; ele está tentando usar a chave mestre de um vazamento anterior.

[ 0x07 ] SURVIVAL_GUIDE: HARDENING_101

Não adianta chorar no Twitter/X. A internet é hostil. Se você quer parar de ser um "pontinho vermelho" no mapa de alguém, o checklist é obrigatório:

Kill Passwords: Se você usa senha no SSH, você já perdeu. Use Ed25519 Keys.
Move the Gate: Mudar a porta 22 para algo como 49152 ajuda? Sim, mas só contra scripts burros. Shodan vai te achar de qualquer jeito.
Active Defense: Instale CrowdSec. Ele é como um Waze para ataques: se um IP atacou alguém na rede deles, ele já chega banido no seu servidor.
Audit Your IoT: Se o seu roteador não recebe update desde 2021, ele não é um roteador, é um membro da botnet de alguém.

[ 0x08 ] MASSIVE_RECON: NMAP_ON_STEROIDS

Como que esses caras te acham em menos de 1 minuto? Simples: velocidade bruta.

Olha esse scan abaixo. Foram testados 4096 endereços IP em apenas 3.58 segundos. Usando taxas de pacotes agressivas (--min-rate 5000), um atacante consegue varrer sub-redes inteiras atrás de portas específicas (como a 25565 de Minecraft ou a 22 de SSH) em tempo recorde.

# sudo nmap -n -Pn -T5 --min-rate 5000 --open -p 25565 152.67.32.0/20 -vvvv
Scanning 4096 hosts [1 port/host]
Discovered open port 25565/tcp on 152.67.32.10
Discovered open port 25565/tcp on 152.67.34.19
Nmap done: 4096 IP addresses scanned in 3.58 seconds
Raw packets sent: 8175 (359.700KB) | Rcvd: 19 (928B)

Se você tem uma porta aberta, você é apenas um bit num scan de 3 segundos de alguém. Não é pessoal, é estatística.

[ 0x09 ] TARGET_ANALYSIS: VULNERABLE_TOMCAT_7.0.92

Depois que o scan termina, o atacante agora tem uma lista de IPs "vivos". Um exemplo real? O IP 152.67.33.53:8080 rodando um Apache Tomcat/7.0.92.

tomcat_vuln

Essa versão é um "parque de diversões" para o Red Team. Só de olhar o versionamento, já sabemos que ele está aberto para: 1. Ghostcat (CVE-2020-1938): Permite ler arquivos internos (configurações) via porta AJP (8009). 2. RCE via CGI Servlet (CVE-2019-0232): Se estiver em Windows, injeção de comandos via .bat. 3. Manager App: Versões antigas são alvos constantes de brute-force para upload de arquivos .war maliciosos (WebShell).

Encontrar o alvo demorou 3.70 segundos. O que vem depois é apenas execução técnica.

[ 0x0A ] FINAL_THOUGHTS

O mapa vermelho da internet não é sobre você. É sobre a exploração massiva de recursos computacionais. Entender que você está sendo escaneado neste exato momento não é paranoia.

A pergunta de ouro no Red/Blue Team não é se você vai ser invadido, é: "O quanto de barulho o atacante vai ter que fazer antes de eu dar um 'shutdown' na conexão dele?".

Fique seguro, use chaves, e pare de usar admin/admin pelo amor de Deus kkkkk.

heatmap

[ 0x00 ] INITIAL_LOG_BOOT

What you see on the dashboard isn't a "movie hacker" map with green screens. It's the noise of the internet. If you spin up a public IP today, you're no longer "alone". In less than 60 seconds, some script in China, Russia, or an Ohio datacenter will find you—and that's the norm.

This article is a technical autopsy of what this red heat actually means. The rabbit hole is made of automated scripts and misconfigured cloud instances.

[ 0x01 ] THE_CLOUD_ABUSE_BIAS

That intense glow on the US East Coast (us-east-1 regions) is the heart of AWS. But make no mistake: it's not Amazon employees attacking you.

What happens is "Cloud-Hopping". Attackers use cloned credit cards or instances with kernel vulnerabilities to spin up high-bandwidth proxies. A 5-dollar VPS has a 1Gbps connection; your home router... well, you know. It's much more efficient to scan the entire IPv4 space from a datacenter backbone than from a residential network. (Unless you have 1001 residential networks :p)

[ 0x02 ] THE_FLAP-D_PARADOX (EUROPE)

London, Amsterdam, Frankfurt, Paris, and Dublin. The FLAP-D axis is where the European internet breathes. The concentration of attacks here is purely statistical: it's where the largest IXPs (Internet Exchange Points) and low-latency datacenters like Hetzner and OVH are located.

Botnets love these providers because IP reputation takes time to drop. They can fire off millions of brute-force packets before the provider receives the first abuse reports and pulls the plug on the instance.

[ 0x03 ] THE_IOT_PLAGUE: MIRAI & BEYOND

While the cloud focuses on heavy brute-force, the heat in Southeast Asia and São Paulo comes from something... "dirtier". We're talking about IoT Botnets.

Bakery routers, cheap IP cameras, DVRs that haven't seen a firmware update in years. Malware like Mirai, Aisuru, and the recent P2PInfect (which targets Redis) turn these devices into zombies. They don't have AWS bandwidth, but they have numbers. * Behavior: The bot enters, tries default passwords (admin/admin, root/123456), and if it gets in, it kills other malware already there and "locks the door" for itself. It's a territorial war for your router.

[ 0x04 ] CASE_STUDY: SÃO_PAULO_CLUSTER

Brazil is one of the world's largest generators of "noise". In São Paulo, the density of residential connections with non-existent security settings is a goldmine.

On our honeypots (Cowrie for SSH and Dionaea for malware), the first TCP brute-force hit usually arrives in less than 45 seconds. Most attempts target classic ports: 22 (SSH), 23 (Telnet), 3389 (RDP), and 5060 (SIP). They don't want your files; they want your processing power to mine Monero or join a massive DDoS attack.

[ 0x05 ] THE_DEBUG_LOG (REAL_WORLD_EXFIL)

Here is what's extracted from a real attack. Forget pretty usernames; bots try what's standard in Ubuntu, Web, and Admin environments.

In the log below, captured on 2025-07-18, we see an attacker from Hong Kong (47.238.151.234) using libssh2_1.11.1 for serial brute-forcing. Connection time? Just 0.6 seconds. This indicates a mass scanner, automated to test and discard targets in milliseconds.

2025-07-18T02:06:15+0000 [SSHTransport,47.238.151.234] login attempt [ubuntu/qwe123456] failed
2025-07-18T02:06:18+0000 [SSHTransport,47.238.151.234] login attempt [web/P@ssw0rd] failed
2025-07-18T02:07:09+0000 [SSHTransport,47.238.151.234] login attempt [adam/adam123] failed
2025-07-18T02:07:19+0000 [SSHTransport,47.238.151.234] login attempt [app/111111] failed
2025-07-18T02:07:50+0000 [SSHTransport,47.238.151.234] login attempt [demo/demo] failed

[ 0x06 ] ANOMALY_DETECTED: PUBLIC_KEY_ATTACK

It's not all password brute-forcing. More advanced attackers try to inject public keys or use leaked credentials from exposed repositories.

Recently, IP 182.92.11.80 attempted a connection using a public key for user NL5xUDpV2xRa. The attack was so aggressive or malformed it caused an internal honeypot exception. When an attacker starts trying specific keys, the game changes: they're no longer just knocking on the door; they're trying to use a master key from a previous leak.

[ 0x07 ] SURVIVAL_GUIDE: HARDENING_101

No point crying on Twitter/X. The internet is hostile. If you want to stop being a "red dot" on someone's map, the checklist is mandatory:

Kill Passwords: If you're using passwords for SSH, you've already lost. Use Ed25519 Keys.
Move the Gate: Does changing port 22 to something like 49152 help? Yes, but only against dumb scripts. Shodan will find you anyway.
Active Defense: Install CrowdSec. It's like Waze for attacks: if an IP attacked someone in their network, it arrives at your server already banned.
Audit Your IoT: If your router hasn't seen an update since 2021, it's not a router; it's a member of someone's botnet.

[ 0x08 ] MASSIVE_RECON: NMAP_ON_STEROIDS

How do these guys find you in less than a minute? Simple: raw speed.

Check out the scan below. 4096 IP addresses were tested in just 3.58 seconds. Using aggressive packet rates (--min-rate 5000), an attacker can sweep entire subnets for specific ports (like Minecraft's 25565 or SSH's 22) in record time.

# sudo nmap -n -Pn -T5 --min-rate 5000 --open -p 25565 152.67.32.0/20 -vvvv
Scanning 4096 hosts [1 port/host]
Discovered open port 25565/tcp on 152.67.32.10
Discovered open port 25565/tcp on 152.67.34.19
Nmap done: 4096 IP addresses scanned in 3.58 seconds
Raw packets sent: 8175 (359.700KB) | Rcvd: 19 (928B)

If you have an open port, you're just a bit in someone's 3-second scan. It's not personal, it's statistics.

[ 0x09 ] TARGET_ANALYSIS: VULNERABLE_TOMCAT_7.0.92

Once the scan is done, the attacker has a list of "live" IPs. A real example? IP 152.67.33.53:8080 running Apache Tomcat/7.0.92.

tomcat_vuln

This version is a "playground" for Red Teamers. Just by looking at the versioning, we know it's vulnerable to: 1. Ghostcat (CVE-2020-1938): Allows reading internal files (configs) via the AJP port (8009). 2. RCE via CGI Servlet (CVE-2019-0232): Command injection via .bat if on Windows. 3. Manager App: Old versions are constant targets for brute-forcing to upload malicious .war files (WebShell).

Finding the target took 3.70 seconds. What follows is just technical execution.

[ 0x0A ] FINAL_THOUGHTS

The internet's red map isn't about you. It's about the mass exploitation of computing resources. Understanding that you're being scanned at this very moment isn't paranoia.

The gold question in Red/Blue Teaming isn't "if" you'll be breached, but: "How much noise will the attacker have to make before I shut down their connection?".

Stay safe, use keys, and for the love of God, stop using admin/admin lol.

heatmap