Nocus Networks LLC: Por Qué Escanean tus Puertos (Y Por Qué Está Bien)

Esa Conexión "Sospechosa"? Es un Honeypot de Investigación de Seguridad.

¿Ves intentos de conexión repetidos de Nocus Networks LLC en tus logs del firewall? No entres en pánico. Son los buenos.

¿Qué es Nocus Networks?

• Organización legítima de investigación en ciberseguridad
• Opera una Honeynet — sistemas intencionalmente vulnerables desplegados para atraer atacantes
• Misión: "Proporcionar visibilidad dentro de la actividad de los hackers mientras protege a la comunidad de internet en general"
• Los datos se comparten con ISPs, CERTs, feeds de inteligencia de amenazas para mejorar las defensas globales

¿Por Qué Están Golpeando tu IP?

1. Escaneo a nivel de internet: Escanean el espacio IPv4 para encontrar servicios expuestos (RDP, SSH, bases de datos, IoT)
2. Monitoreo pasivo: Sus honeypots reciben ataques; rastrean hasta las IPs de origen
3. Tu IP apareció en:
   • Conexiones salientes a sus honeypots (¿dispositivo comprometido?)
   • Escaneos originados desde tu bloque de red (hosting compartido, salida de VPN, salida de Tor)
   • Colateral: escanean a todos; estás en el censo

¿Deberías Preocuparte?

• Bajo riesgo: No explotan — observan
• Alta señal: Si tú los ves escaneando a ti, tu firewall está funcionando (registrando paquetes descartados)
• Acción: Verifica que no haya compromiso real. Revisa conexiones salientes inesperadas. Actualiza servicios expuestos.

Qué Hacer

1. Confirma que es Nocus: WHOIS nocus.net → AS396356, abuse@nocus.net
2. Revisa tus logs en busca de conexiones entrantes exitosas (no solo escaneos bloqueados)
3. Asegura parcheo, MFA, sin credenciales predeterminadas, sin puertos de gestión abiertos al mundo
4. Opcionalmente: bloquea su ASN si el ruido te molesta — pero pierdes el beneficio de su inteligencia de amenazas

Conclusión

Nocus es la vigilancia vecinal caminando por la calle revisando manijas de puertas. No son el ladrón. Tu puerta cerrada (firewall) hizo su trabajo.