PhantomFS

Fake Files. Echte Sicherheit.
Virtuelles Honeypot-Dateisystem für Windows — locke Angreifer in ein Verzeichnis, das echt aussieht, und erwische sie auf frischer Tat.

Was ist PhantomFS?

PhantomFS nutzt das Windows Projected File System (ProjFS), um ein virtuelles Verzeichnis voller überzeugender Lockdateien einzublenden – Finanzberichte, SSH-Schlüssel, API-Zugangsdaten, HR-Tabellen, NDAs – die nur im Speicher existieren. Es werden niemals Daten auf die Festplatte geschrieben, bis ein Angreifer (oder Insider-Bedrohung) eine Datei öffnet.

In dem Moment, in dem eine Datei berührt wird, macht PhantomFS Folgendes:

• Schreibt einen Windows-Ereignisprotokolleintrag (Anwendungsprotokoll, Quelle PhantomFS)
• Sendet eine Toast-Benachrichtigung an die aktive Desktop-Sitzung
• Protokolliert den genauen Dateinamen, Zeitstempel und Prozesskontext
• Bei Zugriff über eine Netzwerkfreigabe – erfasst den SMB-Benutzernamen und die Quelladresse

Da legitime Benutzer keinen Grund haben, Dateien zu öffnen, die sie nicht selbst dort abgelegt haben, ist jede Warnung hochzuverlässig. Kein Tuning, kein ML, keine Cloud-Abhängigkeiten – nur ein nativer Windows-Treiber und eine einzelne ausführbare Datei.

Funktionen

Voraussetzungen

• Windows 10 Version 1809 (Build 17763) oder höher – Windows 11 empfohlen
• .NET Framework 4.8
• Windows Projected File System optionale Funktion aktiviert (Enable-WindowsOptionalFeature -Online -FeatureName Client-ProjFS -NoRestart)
• Administratorrechte zum Starten des virtuellen Stammverzeichnisses

Schnellstart

Einfache Befehle (empfohlen)

1. Laden Sie PhantomFS-v1.1.0-x64.zip von Releases herunter und entpacken Sie es
2. Als Administrator ausführen – ProjFS aktivieren, Enable-WindowsOptionalFeature -Online -FeatureName Client-ProjFS -NoRestart
3. .\PhantomFS.exe --virtroot C:\PhantomFS\Virtual\Documents --syntheticonly ausführen
4. Navigieren Sie im Explorer zu C:\PhantomFS\Virtual\Documents – Sie sehen die Lockdateien
5. Öffnen Sie eine – beobachten Sie die Toast-Benachrichtigung und überprüfen Sie Ereignisanzeige → Windows-Protokolle → Anwendung

Konfiguration

Alle Einstellungen befinden sich in PhantomFS.exe.config. Alle Schlüssel sind optional – das Weglassen eines Schlüssels verwendet den in der Tabelle angegebenen Standardwert.

Verwenden Sie den PhantomFS-Profil-Builder, um verschiedene Konfigurationsprofile für Ihre Bereitstellungsszenarien zu erstellen:

• https://alloysecuregroup.github.io/PhantomFS/

<settings>-Abschnitt

<settings>
  <enableEventLog>true</enableEventLog>
  <enableToast>true</enableToast>
  <alertOnOpen>true</alertOnOpen>
  <alertOnRead>true</alertOnRead>
  <toastCooldownSeconds>15</toastCooldownSeconds>
  <verbose>false</verbose>
  <virtRoot></virtRoot>
  <sourceRoot></sourceRoot>
  <syntheticOnly>true</syntheticOnly>

  <!-- v1.1.0 — automatische Bereinigung -->
  <autoCleanupEnabled>true</autoCleanupEnabled>
  <autoCleanupDelaySeconds>300</autoCleanupDelaySeconds>

  <!-- v1.1.0 — Protokollierung entfernter Sitzungen -->
  <resolveRemoteIPs>true</resolveRemoteIPs>
</settings>

Protokollierung entfernter Sitzungen

Wenn über eine SMB-Freigabe auf eine Datei zugegriffen wird, erkennt PhantomFS PID 4 (den Windows-Systemprozess / SMB-Kernel-Treiber) als Aufrufer und ruft automatisch NetSessionEnum auf, um den entfernten Benutzer zu identifizieren. Der Ereignisprotokolleintrag und die Toast-Benachrichtigung enthalten dann:

PhantomFS — Honeypot-Dateiinhalt gelesen
Datei    : Documents\Q4_Financial_Report_2024.pdf
Prozess  : System (PID 4)
Remote   : CORP\jsmith @ DESKTOP-A1B2C3D  [192.168.1.45]

Voraussetzungen für die Fernprotokollierung:

• Der Serverdienst muss ausgeführt werden (er startet automatisch, sobald eine Freigabe aktiv ist)
• PhantomFS muss auf dem Computer ausgeführt werden, der die Freigabe hostet
• resolveRemoteIPs erfordert, dass der Client-Computer über DNS auflösbar ist

Verhalten der automatischen Bereinigung

Nachdem eine synthetische Datei geöffnet und hydriert wurde (Inhalt auf die Festplatte geschrieben), überprüft ein Hintergrund-Timer alle 30 Sekunden und löscht Dateien, deren Hydrierungszeit autoCleanupDelaySeconds überschreitet. Die gelöschte Datei kehrt zu einem virtuellen ProjFS-Platzhalter zurück – der nächste Zugriff löst den ProjFS-Callback erneut aus, als ob die Datei nie geöffnet worden wäre.

Dateien, die beim Auslösen des Bereinigungstimers noch geöffnet sind, werden fehlerfrei übersprungen und im nächsten 30-Sekunden-Zyklus erneut versucht.

Hinzufügen von Lockdateien

Fügen Sie Einträge unter <syntheticFileList> in der Konfiguration hinzu:

\Documents,true,0,1744586986
\Documents\Q4_Financial_Report_2024.pdf,false,8192,1744586986
\Documents\Employee_Salaries_2024.xlsx,false,4096,1743942586
\IT\Keys,true,0,1744586986
\IT\Keys\deploy_key.pem,false,3247,1742354986

Hinzufügen von Inhaltsvorlagen

<syntheticTemplates>
  <template name="my_custom_file.txt"><![CDATA[
    ... Ihr Dateiinhalt hier ...
  ]]></template>
</syntheticTemplates>

Ereignisprotokoll-Referenz

Öffnen Sie Ereignisanzeige → Windows-Protokolle → Anwendung und filtern Sie nach Quelle PhantomFS.

CI/CD — GitHub Actions

PhantomFS liefert einen Workflow unter .github/workflows/build.yml, der parallel für x64 und ARM64 kompiliert und bei jedem Versions-Tag ein GitHub-Release veröffentlicht.

Aus dem Quellcode erstellen

# Erfordert .NET Framework 4.8 SDK oder Visual Studio Build Tools
csc.exe /platform:x64 /r:System.Xml.dll /out:PhantomFS.exe src\PhantomFS.cs

csc.exe befindet sich normalerweise unter:

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe

Bereitstellungsideen

• Arbeitsstation-Falle – als geplante Aufgabe beim Anmelden ausführen; jede laterale Bewegung zu \\hostname\PhantomFS\Virtual löst eine sofortige Warnung mit dem Benutzernamen und der Quell-IP des Angreifers aus
• Dateiserver-Kanarienvogel – eine \Finance-Freigabe, die auf das virtuelle Stammverzeichnis neben der echten Finanzfreigabe zeigt; die Protokollierung entfernter Sitzungen identifiziert genau, welches Konto den Köder durchstöbert hat
• Entwicklerrechner – falsche AWS-Schlüssel und SSH-Schlüssel in ~\Documents einblenden; Insider- oder Supply-Chain-Angriffe lösen Warnungen vor der Exfiltration aus
• Luftspaltsegment – resolveRemoteIPs=false setzen, um DNS in Umgebungen zu überspringen, in denen externe Nachschlagevorgänge blockiert sind; der NetBIOS-Rechnername wird trotzdem erfasst

Sponsoring

PhantomFS ist kostenlos, Open-Source und MIT-lizenziert. Wenn es Ihnen Zeit gespart hat – oder einen echten Angreifer erwischt hat –, ziehen Sie bitte in Betracht, die weitere Entwicklung zu sponsern.

❤ Auf GitHub sponsern

Sponsoren erhalten:

• Priorisierte Antworten auf Issues
• Frühzeitigen Zugang zu neuen Vorlagen und Funktionen
• Eine Erwähnung in den Versionshinweisen

Unternehmenssponsoren (500 $/Monat) erhalten einen privaten Slack-Kanal für direkten Support und Funktionsanfragen.

Lizenz

MIT License

Copyright (c) 2026 Alloy Secure

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.

Markenhinweis: PhantomFS™ ist eine Marke von Alloy Secure. Alle Rechte vorbehalten.

Haftungsausschluss – Zulässige Nutzung

PhantomFS wird nur für rechtmäßige defensive Sicherheitszwecke bereitgestellt – einschließlich Eindringungserkennung, Bedrohungsforschung und autorisierten Penetrationstests auf Systemen, die Sie besitzen oder für die Sie eine ausdrückliche schriftliche Genehmigung zur Überwachung haben.

Sie sind allein dafür verantwortlich, dass Ihre Nutzung von PhantomFS allen geltenden lokalen, nationalen und internationalen Gesetzen entspricht, einschließlich, aber nicht beschränkt auf Computerbetrug, Abhören, Datenschutz- und Arbeitsrecht. Der Einsatz von PhantomFS auf Systemen oder Netzwerken ohne entsprechende Autorisierung kann illegal sein.

Die Autoren und Mitwirkenden von PhantomFS:

• Übernehmen keinerlei Gewährleistung, weder ausdrücklich noch stillschweigend, hinsichtlich der Eignung für einen bestimmten Zweck
• Übernehmen keine Haftung für direkte, indirekte, beiläufig entstandene oder Folgeschäden, die durch die Nutzung oder den Missbrauch dieser Software entstehen
• Sind nicht verantwortlich für Datenverlust, Systemschäden, rechtliche Verbindlichkeiten oder Schäden Dritter, die durch den Einsatz von PhantomFS in irgendeiner Umgebung entstehen

Nutzung auf eigene Gefahr. Durch die Nutzung von PhantomFS bestätigen Sie, dass Sie diesen Haftungsausschluss gelesen, verstanden haben und sich an seine Bedingungen gebunden fühlen.

Markenhinweis: PhantomFS™ ist eine Marke von Alloy Secure. Alle Rechte vorbehalten.

Danksagungen

Erstellt mit der Windows Projected File System API – derselben Technologie, die WSL2 und OneDrive Files On-Demand antreibt.

Inspiriert durch meine Arbeit als Forscher bei Thinkst 💚 https://citation.thinkst.com/talk/94782