Ver mensajes del autor Ver mensajes propios
Suscribirse

Me he montado un honeypot con IA en una Raspberry Pi y los hackers caen como moscas

WhatDa
ForoCoches: Miembro
Hoy 20:16
#1
Buenas


Pues eso, que llevo 12 años picando código y tengo una Raspberry Pi 5 expuesta a internet en mi casa. La tenía con 5 herramientas de ciberseguridad distintas (Cowrie, Endlessh, Galah, OpenCanary, Suricata…) y un día me harté de gestionar 5 configs, 5 logs y 5 crons distintos y dije: ¿y si junto todo en UNO SOLO y le meto IA para que las respuestas sean más reales?


Resultado:

HoneyAI — un honeypot open-source que simula 11 protocolos distintos con un LLM local (Ollama). Todo en un solo proceso de Node.js.


¿Qué coño es un honeypot?


Básicamente un servidor trampa que se hace pasar por uno real. Los hackers entran pensando que es un servidor de verdad y el sistema les graba todo lo que hacen, les roba tiempo y reporta sus IPs automáticamente a 5 bases de datos de amenazas.


¿Qué hace exactamente?
  • Si un ruso intenta hacer SQLi → le devuelve un dump de BBDD FALSO con credenciales trampa (canary tokens)
  • Si entra por SSH → le da un bash interactivo falso con archivos señuelo (claves AWS falsas, wallets crypto falsas, etc)
  • Si escanea rutas tipo /wp-login, /.env, /.git → lo mete en un tarpit que lo atrapa ~30 segundos por request
  • Si prueba FTP, Telnet, MySQL, Redis, VNC, RDP, Git → TODO falso, TODO generado por IA
  • Reporta automáticamente a AbuseIPDB, OTX, DShield, Blocklist.de y VirusTotal
La IA es la clave: no son respuestas estáticas como los honeypots clásicos. El LLM lee el payload del atacante y genera una respuesta creíble. El filtro de identidad bloquea cualquier mención a "honeypot", "AI", "simulation" en 8 idiomas para que no se delate.


La parte que más mola: cada noche, otro pipeline automático recopila todos los ataques del día, los analiza con otro LLM, genera un informe de amenazas y LO PUBLICA SOLO en un blog:


👉 https://honey-ai.dev


Lleva desde mayo publicando informes diarios sin tocar nada. Datos reales de ataques reales a mi Pi.


Plot twist: el proyecto entero está hecho con vibe coding. Llevo 12 años programando pero esto lo he generado con IA bajo mi supervisión. Desde el honeypot, hasta el blog, los pipelines, el CI, los 98 tests… todo. Y está en producción 24/7 recibiendo ataques reales.


Specs:
  • Node.js + Ollama (LLM local, sin enviar nada a la nube)
  • Corre en una Raspberry Pi 5 (o cualquier VPS de 5€)
  • Docker: docker compose up -d y ya
  • 98 tests pasando
  • AGPL-3.0 (open-source total)
Repo: https://github.com/martidu4/honey-ai
Blog en vivo: https://honey-ai.dev


Si alguien quiere contribuir, hay issues abiertas para nuevos protocolos (DNS, SNMP, SIP), mejoras del dashboard, etc.
Y si algún forero tiene un VPS/Pi tirado por ahí y lo quiere montar, en 5 minutos lo tiene corriendo.


Ale, ¿preguntas? ¿hate? ¿sugerencias?
Sixtolo
W̬̬͔̭̼*******h͈͉̩*͓*** **ǎ
Hoy 20:27
#2
Mola mucho.

¿Cuánta RAM te consume?
WhatDa
ForoCoches: Miembro
Hoy 20:35
#3
Cita de Sixtolo
Mola mucho.

¿Cuánta RAM te consume?
Me alegro que te guste Shur!

HoneyAi con los 11 protocolos actuales solo consumen 32mb de ram, y Ollama unos 630mb.

Casi ni se nota piensa que en la Pi tengo muchas mas imagenes de docker corriendo:

Jellyfinn, Sonarr, Radarr, Transmision, Gitea, Pihole...

Y el honeypot ni se nota.
dos4gw
ForoCoches: Miembro
Hoy 20:41
#4
Es decir, hay un bot haciendo informes de bots atacando a bots. Seguramente los bots atacantes hagan informes tambien de sus ataques.
Sixtolo
W̬̬͔̭̼*******h͈͉̩*͓*** **ǎ
Hoy 20:42
#5
Cita de WhatDa
Me alegro que te guste Shur!

HoneyAi con los 11 protocolos actuales solo consumen 32mb de ram, y Ollama unos 630mb.

Casi ni se nota piensa que en la Pi tengo muchas mas imagenes de docker corriendo:

Jellyfinn, Sonarr, Radarr, Transmision, Gitea, Pihole...

Y el honeypot ni se nota.
Eso es poquísimo ¿lo ves corriendo en una Pi4 de 2GB?
baloth
ForoCoches: Miembro
Hoy 21:33
#6
Mis dieces. Qué modelo le has metido en Ollama?
WhatDa
ForoCoches: Miembro
Hoy 22:32
#7
Cita de dos4gw
Es decir, hay un bot haciendo informes de bots atacando a bots. Seguramente los bots atacantes hagan informes tambien de sus ataques.
Jajajajaja estoy seguro que si. Rollo Inception
WhatDa
ForoCoches: Miembro
Hoy 22:34
#8
Cita de Sixtolo
Eso es poquísimo ¿lo ves corriendo en una Pi4 de 2GB?
Con solo eso seguro que si, y aprovechas y le metes un Pihole con Outbound y a gozar.
WhatDa
ForoCoches: Miembro
Hoy 22:38
#9
Gracias shur! Va con Qwen 2.5:1.5b

Ligero pero suficiente, hay algún modelo que podría ser mejor pero para una maquina como una raspi ya le hace el trabajo y consume poco.
Babu Bhatt
Capo de la robo mafia
Hoy 22:45
#10
Porqué te atacan tanto los rusos? Yo tengo una pi4 en la cocina, la uso para ver Netflix comiendo y ya, debería preocuparme?
SSAP
ForoCoches: Usuario
Hoy 22:46
#11
Cita de WhatDa
Buenas


Pues eso, que llevo 12 años picando código y tengo una Raspberry Pi 5 expuesta a internet en mi casa. La tenía con 5 herramientas de ciberseguridad distintas (Cowrie, Endlessh, Galah, OpenCanary, Suricata…) y un día me harté de gestionar 5 configs, 5 logs y 5 crons distintos y dije: ¿y si junto todo en UNO SOLO y le meto IA para que las respuestas sean más reales?


Resultado:

HoneyAI — un honeypot open-source que simula 11 protocolos distintos con un LLM local (Ollama). Todo en un solo proceso de Node.js.


¿Qué coño es un honeypot?


Básicamente un servidor trampa que se hace pasar por uno real. Los hackers entran pensando que es un servidor de verdad y el sistema les graba todo lo que hacen, les roba tiempo y reporta sus IPs automáticamente a 5 bases de datos de amenazas.


¿Qué hace exactamente?
  • Si un ruso intenta hacer SQLi → le devuelve un dump de BBDD FALSO con credenciales trampa (canary tokens)
  • Si entra por SSH → le da un bash interactivo falso con archivos señuelo (claves AWS falsas, wallets crypto falsas, etc)
  • Si escanea rutas tipo /wp-login, /.env, /.git → lo mete en un tarpit que lo atrapa ~30 segundos por request
  • Si prueba FTP, Telnet, MySQL, Redis, VNC, RDP, Git → TODO falso, TODO generado por IA
  • Reporta automáticamente a AbuseIPDB, OTX, DShield, Blocklist.de y VirusTotal
La IA es la clave: no son respuestas estáticas como los honeypots clásicos. El LLM lee el payload del atacante y genera una respuesta creíble. El filtro de identidad bloquea cualquier mención a "honeypot", "AI", "simulation" en 8 idiomas para que no se delate.


La parte que más mola: cada noche, otro pipeline automático recopila todos los ataques del día, los analiza con otro LLM, genera un informe de amenazas y LO PUBLICA SOLO en un blog:


https://honey-ai.dev


Lleva desde mayo publicando informes diarios sin tocar nada. Datos reales de ataques reales a mi Pi.


Plot twist: el proyecto entero está hecho con vibe coding. Llevo 12 años programando pero esto lo he generado con IA bajo mi supervisión. Desde el honeypot, hasta el blog, los pipelines, el CI, los 98 tests… todo. Y está en producción 24/7 recibiendo ataques reales.


Specs:
  • Node.js + Ollama (LLM local, sin enviar nada a la nube)
  • Corre en una Raspberry Pi 5 (o cualquier VPS de 5€)
  • Docker: docker compose up -d y ya
  • 98 tests pasando
  • AGPL-3.0 (open-source total)
Repo: https://github.com/martidu4/honey-ai
Blog en vivo: https://honey-ai.dev


Si alguien quiere contribuir, hay issues abiertas para nuevos protocolos (DNS, SNMP, SIP), mejoras del dashboard, etc.
Y si algún forero tiene un VPS/Pi tirado por ahí y lo quiere montar, en 5 minutos lo tiene corriendo.


Ale, ¿preguntas? ¿hate? ¿sugerencias?
Interesante aunque no haya entendido la mitad de los palabros...

Me da a reflexionar que los hackers siempre son rusos como los malos en las películas de los 90 rollo jungla de cristal...
WhatDa
ForoCoches: Miembro
Hoy 22:54
#12
Cita de Babu Bhatt
Porqué te atacan tanto los rusos? Yo tengo una pi4 en la cocina, la uso para ver Netflix comiendo y ya, debería preocuparme?
Если она у тебя не выставлена в интернет, то нет. Но поставь туда Jellyfin или Plex, Sonarr и Radarr для отслеживания фильмов и сериалов + Telegram-бота, и потом просто проси: скачай такой-то фильм или такую-то серию. Когда он её находит, то сам добавляет в Transmission, и ты так всё скачиваешь. У меня это именно так и настроено на той же Pi.

Sino la tienes expuesta hacia internet no. Pero metele un Jellyfinn o un Plex , Sonarr y Radar para trackear pelis y series + bot de telegram y a pedirle bajate X peli o Y capítulo y cuando lo rastrea lo mete a transmision mismos y te lo bajas asi lo tengo yo en la misma Pi.
SrTazs
ForoCoches Plus
Hoy 22:55
#13
Mis diez shur. Una vez probé ante el miedo de hackers por los puertos 443, adguard y crawdsec
Tilux
ForoCoches: Miembro
Hoy 22:55
#14
Interesante, yo tengo un server con plex y transmission, ahora me gustaría montarme bien un nextcloud lo mas seguro posible.

Y creo que aprender de esto no estaría mal.
eThor
ForoCoches: Usuario
Hoy 22:56
#15
mola! Tengo un miniPC usando de server..crees seguro tener todas esas trampas en un docker? O sería mejor una sola máquina física para ello?
WhatDa
ForoCoches: Miembro
Hoy 22:56
#16
Cita de SSAP
Interesante aunque no haya entendido la mitad de los palabros...

Me da a reflexionar que los hackers siempre son rusos como los malos en las películas de los 90 rollo jungla de cristal...
De vez en cuándo aparece un grupo de Vietnamitas locos, pero como al final acaban baneados por pesados no pueden volver hasta unos dias, aun espero ataques de corea del norte pero parece que nada xdd
WhatDa
ForoCoches: Miembro
Hoy 22:58
#17
Cita de SrTazs
Mis diez shur. Una vez probé ante el miedo de hackers por los puertos 443, adguard y crawdsec
Gracias!
Ni tan mal Shur, si tienes una pi o mini pc metele pihole y algunas listas y veras que te quedas sin anuncios en inet y en muchas apps de mobil, crowsec es genial no hace falta mas tampoco para casa a no ser que tengas puertos abiertos y tal.
WhatDa
ForoCoches: Miembro
Hoy 23:01
#18
Cita de Tilux
Interesante, yo tengo un server con plex y transmission, ahora me gustaría montarme bien un nextcloud lo mas seguro posible.

Y creo que aprender de esto no estaría mal.
Si securizarlo es importante y mirate lo que le decia a otro Shur, Radarr + Sonarr + Transmisión y bot de telegram y hasta le escribes bajate Torrente 5 y ahi va el sistema que la busca y te la baja, si os interesa esa codigo de pedirle pelis/series por telegram a radarr sonarr via ia local os lo puedo compartir también.
magnum_44
Sys a d m i n
Hoy 23:02
#19
Cita de WhatDa
Buenas


Pues eso, que llevo 12 años picando código y tengo una Raspberry Pi 5 expuesta a internet en mi casa. La tenía con 5 herramientas de ciberseguridad distintas (Cowrie, Endlessh, Galah, OpenCanary, Suricata…) y un día me harté de gestionar 5 configs, 5 logs y 5 crons distintos y dije: ¿y si junto todo en UNO SOLO y le meto IA para que las respuestas sean más reales?


Resultado:

HoneyAI — un honeypot open-source que simula 11 protocolos distintos con un LLM local (Ollama). Todo en un solo proceso de Node.js.


¿Qué coño es un honeypot?


Básicamente un servidor trampa que se hace pasar por uno real. Los hackers entran pensando que es un servidor de verdad y el sistema les graba todo lo que hacen, les roba tiempo y reporta sus IPs automáticamente a 5 bases de datos de amenazas.


¿Qué hace exactamente?
  • Si un ruso intenta hacer SQLi → le devuelve un dump de BBDD FALSO con credenciales trampa (canary tokens)
  • Si entra por SSH → le da un bash interactivo falso con archivos señuelo (claves AWS falsas, wallets crypto falsas, etc)
  • Si escanea rutas tipo /wp-login, /.env, /.git → lo mete en un tarpit que lo atrapa ~30 segundos por request
  • Si prueba FTP, Telnet, MySQL, Redis, VNC, RDP, Git → TODO falso, TODO generado por IA
  • Reporta automáticamente a AbuseIPDB, OTX, DShield, Blocklist.de y VirusTotal
La IA es la clave: no son respuestas estáticas como los honeypots clásicos. El LLM lee el payload del atacante y genera una respuesta creíble. El filtro de identidad bloquea cualquier mención a "honeypot", "AI", "simulation" en 8 idiomas para que no se delate.


La parte que más mola: cada noche, otro pipeline automático recopila todos los ataques del día, los analiza con otro LLM, genera un informe de amenazas y LO PUBLICA SOLO en un blog:


https://honey-ai.dev


Lleva desde mayo publicando informes diarios sin tocar nada. Datos reales de ataques reales a mi Pi.


Plot twist: el proyecto entero está hecho con vibe coding. Llevo 12 años programando pero esto lo he generado con IA bajo mi supervisión. Desde el honeypot, hasta el blog, los pipelines, el CI, los 98 tests… todo. Y está en producción 24/7 recibiendo ataques reales.


Specs:
  • Node.js + Ollama (LLM local, sin enviar nada a la nube)
  • Corre en una Raspberry Pi 5 (o cualquier VPS de 5€)
  • Docker: docker compose up -d y ya
  • 98 tests pasando
  • AGPL-3.0 (open-source total)
Repo: https://github.com/martidu4/honey-ai
Blog en vivo: https://honey-ai.dev


Si alguien quiere contribuir, hay issues abiertas para nuevos protocolos (DNS, SNMP, SIP), mejoras del dashboard, etc.
Y si algún forero tiene un VPS/Pi tirado por ahí y lo quiere montar, en 5 minutos lo tiene corriendo.


Ale, ¿preguntas? ¿hate? ¿sugerencias?

mola y me interesa, ahora uso opencanary, pero no lo uso como servicio externo sino como honeypot en cada subred interna en mi LAN.


Mirando el proyecto me faltan dos cosas importantes, honeypot samba y detección de escaneo de puertos.


¿hay alguna razón de porque esta hecho con JS? No me mola mucho el ecosistema JS.
WhatDa
ForoCoches: Miembro
Hoy 23:05
#20
Cita de eThor
mola! Tengo un miniPC usando de server..crees seguro tener todas esas trampas en un docker? O sería mejor una sola máquina física para ello?
Si tienes la opción de dedicar una maquina a eso mejor, yo en mi caso convive en la Pi5 con mas servicios y repos y no me preocupa porque aunque vulneraran el honeypot estarían encerrados y no tendrían acceso a mi Pi de verdad
te_voy_meter
ForoCoches: Usuario
Hoy 23:13
#21
Se puede hacer lo contrario?

Es decir, no mal interpretes.... Poner una ia a localizar fallos en mi homelab? Sobre todo lo expuesto? Digo porque al final tengo servicios dockerizados, alguno que quisiera exponerlo al exterior, pero me da miedo dejarme agujeros.
← A Electrónica / Informática
⌃