wsus-decoy

Defensiver Proof-of-Concept-Decoy für CVE-2025-59287 (WSUS). Der Decoy emuliert WSUS-Webendpunkte auf den Ports 8530 und 8531, erfasst vollständige HTTP-Anfragekörper und -Header, speichert Beweismaterial für die forensische Analyse und enthält eine Windows-Testumgebung zur Validierung von Endpunkt-, Datei- und Prozess-Telemetrie. Er enthält außerdem Beispiel-Erkennungsregeln (KQL und Suricata) sowie eine Sentinel-Playbook-Vorlage.

WICHTIG: Dieses Projekt ist strikt defensiv. Es enthält keinen Exploit-Code. Nur in einer isolierten Labor- oder segmentierten Testumgebung ausführen. Setzen Sie den Decoy nicht in Produktionsnetzwerken ein, es sei denn, Sie verstehen die Risiken und haben Überwachung eingerichtet.

Repository-Inhalt

• nginx-Konfiguration zum Proxying WSUS-ähnlicher Endpunkte an einen Erfassungsdienst
• Flask-basierter Erfassungsdienst, der Anfragekörper und Metadaten auf der Festplatte speichert
• Windows-PowerShell-Testumgebung zum Erstellen der Logdatei und zum Starten von cmd.exe -> powershell -EncodedCommand zur Validierung der Erkennung
• Suricata-Regeln zur Erkennung verdächtiger WSUS-POSTs
• KQL-Abfragen für Erkennung mit hoher Konfidenz und Frühwarnung in Microsoft Sentinel (Von @0x534c Steven Lim auf X)
• Bereitstellungs- und Testanleitungen

Schnellstart (lokales Labor)

1. Klonen Sie dieses Repository.
2. Erstellen Sie in capture/ eine Python-venv und führen Sie dann pip install -r requirements.txt aus.
3. Aktualisieren Sie bei Bedarf nginx/nginx.conf und führen Sie nginx auf dem Decoy-Host aus, der auf Port 8530 lauscht.
4. Starten Sie den Flask-Erfassungsdienst (systemd-Unit wird mitgeliefert).
5. Führen Sie auf einer Windows-Test-VM mit aktiviertem EDR windows-harness/wsus_test_harness.ps1 aus.
6. Generieren Sie einen POST an http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx, um die Erfassung zu testen.
7. Übernehmen Sie die Beweisartefakte in Ihr SIEM oder Ihren Log-Analytics-Arbeitsbereich und führen Sie die bereitgestellten KQL-Abfragen zur Validierung aus.

Vollständige Anweisungen finden Sie in docs/deployment.md und docs/testing.md.

Für Unternehmen

• Besuchen Sie lupovis.io

Lizenz und Namensnennung

Dieses Projekt ist unter der MIT-Lizenz lizenziert. Den vollständigen Lizenztext finden Sie in der Datei LICENSE.

Copyright (c) 2025 Lupovis

Namensnennung: Erstellt von Lupovis
Repository: https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

Sicherheitshinweis

Führen Sie dies immer in einer isolierten Labor- oder segmentierten Testumgebung aus. Verwenden Sie keine echten Exploit-Payloads. Die Absicht ist, Angreiferaktivitäten auf sichere Weise zu erfassen und zu analysieren.