Honeybits

Una herramienta PoC simple diseñada para mejorar la efectividad de tus trampas al esparcir breadcrumbs y honeytokens a través de tus servidores y estaciones de trabajo de producción para atraer al atacante hacia tus honeypots.

Autor: Adel "0x4D31" Karimi.

La versión para Windows de este proyecto: honeybits-win

Antecedentes

Aunque los honeypots son utilizados por investigadores de seguridad para estudiar las herramientas, técnicas y motivos de los atacantes durante muchos años, todavía no han sido ampliamente aceptados e implementados en entornos de producción. Una razón es que la implementación tradicional de los honeypots es estática y su éxito se basa en que un atacante lo descubra (lo que generalmente requiere escaneo de red).

Echando un vistazo a la Matriz MITRE ATT&CK, verás que 'Network Service Scanning' es solo una de las muchas actividades posteriores a la compromisión. Cuanta más información falsa o engañosa plantes en respuesta a las técnicas post-compromiso (especialmente las técnicas bajo las tácticas de 'credential access', 'Discovery' y 'Lateral movement' en la matriz ATT&CK), mayor será la probabilidad de atrapar a los atacantes. Honeybits te ayuda a automatizar la creación de breadcrumbs/honeytokens en tus servidores y estaciones de trabajo de producción. Estos honeytokens o breadcrumbs incluyen:

• Comandos falsos de bash_history (como ssh, ftp, rsync, scp, mysql, wget, awscli)
• Credenciales y archivos de configuración falsos de AWS (necesitas crear usuarios IAM falsos de AWS sin permisos y generar claves de acceso para ellos)
• Archivos de configuración, respaldo y conexión como RDP y VPN
• Entradas falsas en hosts, tabla ARP, etc.
• Historial, marcadores y contraseñas guardadas falsos del navegador
• Credenciales falsas inyectadas en LSASS
• Claves de registro falsas

Características

• Crear honeyfiles y monitorear el acceso a estas trampas usando go-audit o auditd
• Generador de contenido basado en plantillas para honeyfiles
• Insertar honeybits en el archivo de configuración y credenciales de AWS
• Insertar honeybits en /etc/hosts
• Leer configuración desde un almacén remoto de clave/valor como Consul o etcd
• Insertar diferentes honeybits en "bash_history", incluyendo los siguientes comandos de ejemplo:
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • any custom commands: (nano /tmp/backup/credentials.txt)
  • aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

Requisitos

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit o auditd (si quieres monitorear los honeyfiles)

Uso:

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

POR HACER:

• Reescribir todo el código. El código actual es basura (¡solo un PoC)!
• Mejorar el generador de contenido
• Más trampas, incluyendo:
  • Beacon documents
  • Archivo KeePass con entradas (.kdbx)
  • Archivos/respaldos de bases de datos: SQLite, MySQL
  • Resultados falsos de escaneo de seguridad como salida de Nmap
  • Archivos binarios con IP/credenciales hardcodeadas
• Más trampas de red
  • PCAP/tráfico de red falso que contenga credenciales, etc.
  • Entradas falsas de tabla ARP
  • Monitorear trampas de red usando go-audit
• Completar la versión para Windows (honeybits-win)
• Documentación