AutoHoneyPoC

مولّد AutoPoC، إصدار HoneyPoC النهائي.

إذا كانت هذه هي المرة الأولى التي تسمع فيها عن المشروع أو تراه، فستحتاج إلى قراءة منشور المدونة. https://blog.zsec.uk/honeypoc-ultimate/

بينما أقوم بإصدار AutoPoC، فإن الإطار بحد ذاته غير ضار لأنه يتطلب بعض المتطلبات الأساسية لبناء الواجهة الخلفية الآلية، لكن الكود المخرَج هو برمجية خبيثة من الناحية التقنية، لذا كن حذرًا فيما تفعله به، وهو لأغراض تعليمية وما إلى ذلك؛ لست مسؤولًا إذا استخدمته في الجريمة أو أي فوضى أخرى.

جميع الحسابات في سجل الالتزامات التي قد ترى فيها بيانات اعتماد تم إما الإبلاغ عنها من قبل GitHub كحسابات خبيثة أو تسويتها ;).

المشروع الشقيق: SandboxSpy

الاستخدام:

python3 autopoc.py

مثال على المخرجات

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

المتطلبات من حيث بيانات الاعتماد (.creds.env):

• CVE_SEARCH : مصطلح البحث لنوع CVE الذي تريد البحث عنه وتوليده
• CANARY_AUTH_TOKEN : مفتاح API الخاص بـ CanaryTokens
• CANARY_API_URL : رابط واجهة برمجة التطبيقات الفريد للـ canary blah.canary.tools
• GITHUB_USERNAME : اسم المستخدم لحساب git الذي سيُرفع إليه
• GITHUB_TOKEN : رمز وصول شخصي للمستخدم
• PASTE_API_KEY : رمز API الخاص بـ Pastebin
• EMAIL_TO : البريد الإلكتروني لإرسال المخرجات إليه ومنه
• EMAIL_PASSWORD : كلمة المرور للمصادقة
• EMAIL_SERVER : رابط الخادم
• EMAIL_SERVER_PORT : منفذ الخادم

ماذا يفعل هذا السكربت:

1. المرحلة 1: استطلاع CVEs من رابط قاعدة البيانات ثم وضعها في قائمة للتكرار عليها وإنشاء رموز canary لكل CVE
2. المرحلة 2أ: إنشاء مستودع Git ودفع التحديثات إلى المستودع
3. المرحلة 2ب: إرسال تنبيه بريد إلكتروني للمستخدم بأنه تم إنشاء مستودع جديد، وتوثيق رابط المستودع ومعرف CVE ومعرف CanaryToken
4. المرحلة 2ج: إنشاء إدخال في Pastebin باسم مستودع git ومعلومات CVE
5. المرحلة 3: بناء PoC من القوالب، وإدخال CVE وCanaryID في الـ PoC المحدد

أماكن الأشياء

• Canary Token: https://EXAMPLE.canary.tools/nest/
• Github: https://github.com/USER/CVE-X.git
• Pastebin: https://pastebin.com/randomstring

شكرًا

• https://twitter.com/BufferOfStyx - ساعد في تقسيم بعض الكود إلى وحدات، وساعد أيضًا في الأفكار الأولية للعصف الذهني

المزيد من الميزات

• مُنبّه Slack - منفَّذ تقنيًا عبر رموز canary، لكن رابط/طريقة webhook قيد العمل
• مُنبّه Discord
• البدء في بناء لوحة تحكم للحسابات التي تم إتلافها على git ومعرفة أين/متى تم إنشاؤها/حذفها

المعلومات والبيانات

• جمع المعلومات حول مكان إيداع تفاصيل CVE
• جمع البيانات حول عمليات التنفيذ ورسم الخرائط

الاكتشاف والاستجابة

لست خبيرًا في الفريق الأزرق ولا مهندس اكتشاف بحكم تخصصي؛ ومع ذلك، فإن قواعد Yara التالية هي محاولتي لتوفير بعض الاكتشاف للنطاقات والملفات الثنائية التي يتم تنفيذها تاريخيًا داخل بيئتك.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

يمكن استخدام قاعدة Yara التالية مع أداة مثل PasteHunter للبحث عن سلاسل نصية محددة في روابط Pastebin.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}