wsus-decoy

إثبات مفهوم دفاعي لـ CVE-2025-59287 (WSUS). يحاكي هذا الخداع نقاط نهاية WSUS على المنفذين 8530 و8531، ويلتقط كامل أجسام طلبات HTTP والترويسات، ويخزن الأدلة للتحليل الجنائي، ويتضمن بيئة اختبار لنظام Windows للتحقق من نقاط النهاية والملفات وتليمترية العمليات. كما يتضمن قواعد كشف أمثلة (KQL وSuricata) وقالب playbook لـ Sentinel.

مهم: هذا المشروع دفاعي بحت. لا يحتوي على أي كود استغلال. شغّله فقط في بيئة معزولة أو شبكة اختبار مجزأة. لا تعرّض الخداع لشبكات الإنتاج إلا إذا كنت تفهم المخاطر وكان لديك مراقبة مطبقة.

محتويات المستودع

• إعداد nginx لوكيل نقاط نهاية شبيهة بـ WSUS إلى خدمة التقاط
• خدمة التقاط مبنية على Flask تكتب أجسام الطلبات والبيانات الوصفية إلى القرص
• بيئة PowerShell لنظام Windows لإنشاء ملف السجل وتشغيل cmd.exe -> powershell -EncodedCommand للتحقق من الكشف
• قواعد Suricata لكشف طلبات POST المشبوهة إلى WSUS
• استعلامات KQL للكشف عالي الثقة والإنذار المبكر في Microsoft Sentinel (من @0x534c Steven Lim على X)
• أدلة النشر والاختبار

بدء سريع (مختبر محلي)

1. استنسخ هذا المستودع.
2. في مجلد capture/ أنشئ بيئة Python افتراضية، ثم نفّذ pip install -r requirements.txt.
3. حدّث nginx/nginx.conf إذا لزم الأمر وشغّل nginx على مضيف الخداع ليستمع على المنفذ 8530.
4. ابدأ خدمة التقاط Flask (وحدة systemd متوفرة).
5. على جهاز اختبار Windows مع تفعيل EDR، شغّل windows-harness/wsus_test_harness.ps1.
6. أنشئ طلب POST إلى http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx لاختبار الالتقاط.
7. أدخل أدلة الأحداث إلى SIEM أو مساحة عمل Log Analytics وشغّل استعلامات KQL المتوفرة للتحقق.

راجع docs/deployment.md و docs/testing.md للتعليمات الكاملة.

للمؤسسات

• قم بزيارة lupovis.io

الترخيص والإسناد

هذا المشروع مرخّص بموجب رخصة MIT. راجع ملف LICENSE للنص الكامل للترخيص.

حقوق النشر (c) 2025 Lupovis

الإسناد: أُنشئ بواسطة Lupovis
المستودع: https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

ملاحظة السلامة

شغّل هذا دائمًا في مختبر معزول أو شبكة اختبار مجزأة. لا تستخدم حمولات استغلال حقيقية. الهدف هو التقاط وتحليل نشاط المهاجمين بطريقة آمنة.