Honeybits

Ein einfaches PoC-Tool, das entwickelt wurde, um die Effektivität Ihrer Fallen zu verbessern, indem es Breadcrumbs und Honeytokens auf Ihren Produktionsservern und Arbeitsstationen verteilt, um den Angreifer zu Ihren Honeypots zu locken.

Autor: Adel "0x4D31" Karimi.

Die Windows-Version dieses Projekts: honeybits-win

Hintergrund

Obwohl Honeypots von Sicherheitsforschern seit vielen Jahren verwendet werden, um die Werkzeuge, Techniken und Motive von Angreifern zu untersuchen, werden sie in Produktionsumgebungen noch immer nicht breit akzeptiert und eingesetzt. Ein Grund dafür ist, dass die traditionelle Implementierung von Honeypots statisch ist und der Erfolg darauf beruht, dass ein Angreifer sie entdeckt (was normalerweise eine Netzwerkscanning erfordert)!

Ein Blick auf die Mitre ATT&CK Matrix zeigt, dass 'Network Service Scanning' nur eine von vielen verschiedenen Post-Compromise-Aktivitäten ist. Je mehr falsche oder irreführende Informationen Sie als Reaktion auf die Post-Compromise-Techniken platzieren (insbesondere die Techniken unter den Taktiken 'Credential Access', 'Discovery' und 'Lateral Movement' in der ATT&CK-Matrix), desto größer ist die Chance, die Angreifer zu erwischen. Honeybits hilft Ihnen, die Erstellung von Breadcrumbs/Honeytokens auf Ihren Produktionsservern und Arbeitsstationen zu automatisieren. Diese Honeytokens oder Breadcrumbs umfassen:

• Gefälschte bash_history-Befehle (wie ssh, ftp, rsync, scp, mysql, wget, awscli)
• Gefälschte AWS-Anmeldeinformationen und Konfigurationsdateien (Sie müssen gefälschte AWS IAM-Benutzer ohne Berechtigungen erstellen und Zugriffsschlüssel für sie generieren)
• Konfigurations-, Backup- und Verbindungsdateien wie RDP und VPN
• Gefälschte Einträge in hosts, ARP-Tabelle usw.
• Gefälschter Browserverlauf, Lesezeichen und gespeicherte Passwörter
• Injizierte gefälschte Anmeldeinformationen in LSASS
• Gefälschte Registrierungsschlüssel

Features

• Erstellen von Honeyfiles und Überwachen des Zugriffs auf diese Fallen mit go-audit oder auditd
• Vorlagenbasierter Content-Generator für Honeyfiles
• Einfügen von Honeybits in AWS-Konfigurations- und Anmeldeinformationsdateien
• Einfügen von Honeybits in /etc/hosts
• Lesen der Konfiguration aus einem entfernten Key/Value-Store wie Consul oder etcd
• Einfügen verschiedener Honeybits in "bash_history", einschließlich der folgenden Beispielbefehle:
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • beliebige benutzerdefinierte Befehle: (nano /tmp/backup/credentials.txt)
  • aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

Anforderungen

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit oder auditd (falls Sie die Honeyfiles überwachen möchten)

Verwendung:

$ go build
$ sudo ./honeybits 

Fehler beim Lesen der entfernten Konfiguration. Lese die lokale Konfigurationsdatei...
Lokale Konfigurationsdatei geladen.

[fehlgeschlagen] Honeyfile existiert bereits unter diesem Pfad: /tmp/secret.txt
[erledigt] go-audit-Regel für /home/test/secret.txt wurde hinzugefügt
[erledigt] Honeyfile wurde erstellt (/home/test/secret.txt)
[erledigt] go-audit-Regel für /opt/secret.txt wurde hinzugefügt
[erledigt] sshpass Honeybit wurde eingefügt
[erledigt] wget Honeybit wurde eingefügt
[erledigt] ftp Honeybit wurde eingefügt
[erledigt] rsync Honeybit wurde eingefügt
[erledigt] scp Honeybit wurde eingefügt
[erledigt] mysql Honeybit wurde eingefügt
[fehlgeschlagen] aws Honeybit existiert bereits
[erledigt] hostsconf Honeybit wurde eingefügt
[erledigt] awsconf Honeybit wurde eingefügt
[erledigt] awscred Honeybit wurde eingefügt
[erledigt] benutzerdefiniertes Honeybit wurde eingefügt

TODO:

• Den gesamten Code neu schreiben. Der aktuelle Code ist Schrott (nur ein PoC)!
• Den Content-Generator verbessern
• Mehr Fallen, einschließlich:
  • Beacon-Dokumente
  • KeePass-Datei mit Einträgen (.kdbx)
  • Datenbankdateien/-backups: SQLite, MySQL
  • Gefälschte Sicherheitsscanergebnisse wie Nmap-Ausgabe
  • Binärdateien mit fest codierten IPs / Anmeldeinformationen
• Mehr Netzwerkfallen
  • Gefälschte PCAPs / Netzwerkverkehr mit Anmeldeinformationen usw.
  • Gefälschte ARP-Tabelleneinträge
  • Überwachung von Netzwerkfallen mit go-audit
• Die Windows-Version vervollständigen (honeybits-win)
• Dokumentation