
Ein SSH-Honeypot mit der XZ-Hintertür. CVE-2024-3094
Ein SSH-Honeypot mit der XZ-Hintertür. CVE-2024-3094
TODO: Hintertür und/oder sshd hooken. RSA-Schlüssel zur Entschlüsselung protokollieren.
Notizen:
Bitte führen Sie dies auf einem separaten, isolierten System aus. Docker ist so konfiguriert, dass ein Angreifer leicht daraus ausbrechen kann. Docker wird nur verwendet, um alle gemeinsam genutzten Bibliotheken zum Laufen zu bringen und zu konfigurieren.
Installieren Sie notify von projectdiscovery mit dem folgenden Befehl:
go install -v github.com/projectdiscovery/notify/cmd/notify@latest
Führen Sie den folgenden Befehl aus, um den Honeypot zu starten:
./monitor.sh DISCORD_WEBHOOK_URL
z. B.
./monitor.sh https://discord.com/api/webhooks/12345678909876/aaaaaaaa
Hiermit werden über notify alle Logs an einen Discord-Webhook gesendet.
Die anfällige Version von xz (5.6.1) und die mit liblzma verknüpfte Version von sshd aus den Fedora-Repositories werden in der Konfiguration ausgeführt, die die Hintertür aktiviert. Die Überwachung erfolgt durch bpftrace, strace, tcpdump und den sshd-Prozess selbst.
bpftrace
strace
sshd-Prozess.tcpdump
sshd
set_log_mask verwendet, um das Protokollierungsverhalten zu ändern, wenn der Angreifer versucht, sich anzumelden.)