xz-vulnerable-honeypot

وعاء عسل SSH مع الباب الخلفي XZ. CVE-2024-3094

TODO: ربط الباب الخلفي و/أو sshd. تسجيل مفاتيح RSA لفك التشفير.

ملاحظات:

• https://gist.github.com/smx-smx/a6112d54777845d389bd7126d6e9f504
• https://gist.github.com/q3k/af3d93b6a1f399de28fe194add452d01
• https://github.com/hamarituc/xz-backdoor

تحذير

يُرجى تشغيل هذا على نظام منعزل منفصل. تم تكوين Docker بطريقة تسمح للمهاجم بالهروب منه بسهولة. يُستخدم Docker فقط للحصول على جميع المكتبات المشتركة وتشغيلها وتكوينها.

التثبيت

قم بتثبيت notify من projectdiscovery باستخدام الأمر التالي:

go install -v github.com/projectdiscovery/notify/cmd/notify@latest

قم بتشغيل الأمر التالي لبدء وعاء العسل:

./monitor.sh DISCORD_WEBHOOK_URL

مثال:

./monitor.sh https://discord.com/api/webhooks/12345678909876/aaaaaaaa

سيستخدم هذا notify لإرسال جميع السجلات إلى خطاف ويب Discord.

كيف يعمل

يتم تشغيل الإصدار الضعيف من xz (5.6.1) والإصدار المرتبط بـ liblzma من sshd من مستودعات Fedora في التكوين الذي ينشط الباب الخلفي. يتم توفير المراقبة بواسطة bpftrace و strace و tcpdump وعملية sshd نفسها.

• bpftrace
  • مراقبة استدعاءات النظام وربط المكتبات المشتركة.
• strace
  • مراقبة استدعاءات النظام لعملية sshd الأب.
• tcpdump
  • التقاط الحزم.
• sshd
  • أحداث تسجيل الدخول (ملاحظة: على الأرجح لن يلتقط حدث تسجيل الدخول للممثل السيئ لأن الباب الخلفي يستخدم set_log_mask لتغيير سلوك التسجيل عندما يحاول المهاجم تسجيل الدخول)