هونيبتس

أداة إثبات مفهوم بسيطة مصممة لتعزيز فعالية أفخاخك عن طريق نشر فتات الخبز ورمزات العسل عبر خوادم الإنتاج ومحطات العمل لديك لجذب المهاجم نحو أواني العسل الخاصة بك.

المؤلف: عادل "0x4D31" كريمي.

إصدار ويندوز من هذا المشروع: honeybits-win

الخلفية

على الرغم من استخدام أواني العسل من قبل باحثي الأمن لدراسة أدوات المهاجمين وتقنياتهم ودوافعهم لسنوات عديدة، إلا أنها لم تحظ بعد بقبول واسع ونشر في بيئات الإنتاج. أحد الأسباب هو أن التنفيذ التقليدي لأواني العسل ثابت ويعتمد نجاحه على اكتشاف المهاجم له (والذي يتطلب عادة مسح الشبكة)!

بإلقاء نظرة على مصفوفة Mitre ATT&CK، سترى أن 'مسح خدمات الشبكة' ليست سوى واحدة من العديد من أنشطة ما بعد الاختراق المختلفة. كلما زرعت معلومات خاطئة أو مضللة استجابة لتقنيات ما بعد الاختراق (خاصة التقنيات تحت تكتيكات 'الوصول إلى بيانات الاعتماد' و'الاكتشاف' و'الحركة الجانبية' في مصفوفة ATT&CK)، كلما زادت فرصة الإمساك بالمهاجمين. تساعدك Honeybits على أتمتة إنشاء فتات الخبز/رمزات العسل على خوادم الإنتاج ومحطات العمل لديك. تتضمن هذه الرمزات أو فتات الخبز:

• أوامر bash_history مزيفة (مثل ssh، ftp، rsync، scp، mysql، wget، awscli)
• بيانات اعتماد وملفات تكوين AWS مزيفة (يجب عليك إنشاء مستخدمين IAM مزيفين بدون أذونات وإنشاء مفاتيح وصول لهم)
• ملفات التكوين والنسخ الاحتياطي والاتصال مثل RDP وVPN
• إدخالات مزيفة في hosts، جدول ARP، إلخ.
• سجل التصفح المزيف والإشارات المرجعية وكلمات المرور المحفوظة
• حقن بيانات اعتماد مزيفة في LSASS
• مفاتيح التسجيل المزيفة

الميزات

• إنشاء ملفات العسل ومراقبة الوصول إلى هذه الأفخاخ باستخدام go-audit أو auditd
• مولد محتوى قائم على القوالب لملفات العسل
• إدراج رمزات العسل في ملف تكوين وبيانات اعتماد AWS
• إدراج رمزات العسل في /etc/hosts
• قراءة التكوين من مخزن مفاتيح/قيم عن بعد مثل Consul أو etcd
• إدراج رمزات عسل مختلفة في "bash_history"، بما في ذلك أوامر العينة التالية:
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • أي أوامر مخصصة: (nano /tmp/backup/credentials.txt)
  • aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

المتطلبات

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit أو auditd (إذا أردت مراقبة ملفات العسل)

الاستخدام:

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

المهام المتبقية:

• إعادة كتابة الكود بالكامل. الكود الحالي سيئ (مجرد إثبات مفهوم)!
• تحسين مولد المحتوى
• المزيد من الأفخاخ، بما في ذلك:
  • مستندات منارة (Beacon documents)
  • ملف KeePass مع إدخالات (.kdbx)
  • ملفات/نسخ احتياطية لقواعد البيانات: SQLite، MySQL
  • نتائج فحص أمني مزيفة مثل مخرجات Nmap
  • ملفات ثنائية تحتوي على IP/بيانات اعتماد مبرمجة بشكل ثابت
• المزيد من أفخاخ الشبكة
  • PCAP/حركة مرور شبكة مزيفة تحتوي على بيانات اعتماد إلخ.
  • إدخالات جدول ARP مزيفة
  • مراقبة أفخاخ الشبكة باستخدام go-audit
• إكمال إصدار ويندوز (honeybits-win)
• التوثيق