AutoHoneyPoC

AutoPoC Generator HoneyPoC Ultimate Edition.

Falls du zum ersten Mal von dem Projekt hörst oder es siehst, solltest du den Blogbeitrag lesen. https://blog.zsec.uk/honeypoc-ultimate/

Auch wenn ich AutoPoC veröffentliche, ist das Framework für sich genommen harmlos, da es einige Voraussetzungen erfordert, um das automatisierte Backend aufzubauen, aber der ausgegebene Code ist technisch gesehen Malware. Sei also vorsichtig, was du damit machst; es dient zu Bildungszwecken usw.; ich hafte nicht, wenn du es für Straftaten oder sonstiges Chaos verwendest.

Alle Konten im Commit-Verlauf, in denen du möglicherweise Zugangsdaten siehst, wurden entweder von GitHub als bösartig markiert oder platt gemacht ;).

Schwesterprojekt: SandboxSpy

Verwendung:

python3 autopoc.py

Beispielausgabe

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

Anforderungen an Zugangsdaten (.creds.env):

• CVE_SEARCH : Der Suchbegriff für den Typ von CVE, nach dem gesucht und der generiert werden soll
• CANARY_AUTH_TOKEN : CanaryTokens-API-Schlüssel
• CANARY_API_URL : Eindeutige Canary-API-URL blah.canary.tools
• GITHUB_USERNAME : Benutzername des Git-Kontos, auf das hochgeladen werden soll
• GITHUB_TOKEN : Persönliches Zugriffstoken für den Benutzer
• PASTE_API_KEY : API-Token für Pastebin
• EMAIL_TO : E-Mail-Adresse für den Versand und Empfang der Ausgabe
• EMAIL_PASSWORD : Passwort für die Authentifizierung
• EMAIL_SERVER : Server-URL
• EMAIL_SERVER_PORT : Server-Port

Was dieses Skript tut:

1. Stufe 1: CVEs von der Datenbank-URL abfragen und sie dann in eine Liste aufnehmen, um sie zu durchlaufen und für jede CVE Canary-Tokens zu erstellen
2. Stufe 2a: Git-Repo erstellen und Updates in das Repo pushen
3. Stufe 2b: Benutzer per E-Mail benachrichtigen, dass ein neues Repo erstellt wurde; Repo-Link, CVE-ID und CanaryToken-ID dokumentieren
4. Stufe 2c: Einen Pastebin-Eintrag mit dem Git-Repo-Namen und den CVE-Informationen erstellen
5. Stufe 3: PoCs aus Vorlagen bauen; CVE und CanaryID in den jeweiligen PoC einsetzen

Orte für Dinge

• Canary Token: https://EXAMPLE.canary.tools/nest/
• Github: https://github.com/USER/CVE-X.git
• Pastebin: https://pastebin.com/randomstring

Danksagung

• https://twitter.com/BufferOfStyx - Hat bei der Modularisierung einiger Teile des Codes geholfen und auch bei den ersten Brainstorming-Ideen mitgewirkt

Weitere Funktionen

• Slack-Benachrichtigung - technisch gesehen über Canary-Tokens umgesetzt, aber eine Webhook-URL/-Methode ist in Arbeit (WIP)
• Discord-Benachrichtigung
• Ein Dashboard für zerstörte Konten auf Git aufbauen und herausfinden, wo/wann sie erstellt/gelöscht wurden

Informationen + Daten

• Erfassen, wo die CVE-Details abgelegt werden
• Daten zu Ausführungen und Mapping sammeln

Erkennung und Reaktion

Ich bin von Beruf weder Blue-Teamer noch Detection Engineer; die folgenden Yara-Regeln sind jedoch mein Versuch einer gewissen Erkennung für die Domains und Binärdateien, die in deiner Umgebung in der Vergangenheit ausgeführt wurden.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

Die folgende Yara-Regel kann zusammen mit etwas wie PasteHunter verwendet werden, um in Pastebin-Links nach bestimmten Zeichenfolgen zu suchen.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}