StickyExim

Un HoneyPot de Correo Electrónico

Características

• Fácil de implementar. Los scripts de instalación hacen todo el trabajo.
• Los informes de abuso se crean automáticamente y se envían al propietario de la IP atacante.
• Los informes de abuso se almacenan con un hash en el momento de la creación por si se necesitan más tarde.

Requisitos

• Nombres de dominio.

  • Un dominio real que uses para correo electrónico normal. Ejemplo: myrealdomain.com
  • Un dominio para el/los HoneyPot(s). Ejemplo: myhoneydomain.com

• Control de registros DNS.

  • Agrega un comodín para todos los subdominios de myhoneydomain.com que apunten a la IP del servidor de correo del dominio myrealdomain.com. En Bind esto se vería así: "*.myhoneydomain.com. IN A 1.1.1.1."

• Otro Servidor de Correo

  • Cualquier cosa funcionará. Puedes usar tu servidor de correo normal; no hay requisitos especiales. Esto es solo para recibir correos electrónicos.
  • Haz que "myhoneydomain.com" y "log.myhoneydomain.com" sean alias de dominio para "myrealdomain.com"
  • Crea la cuenta "[email protected]".

• Debian 9

  • Puede funcionar con otras versiones de Debian, pero todas las pruebas se realizaron en la versión 9.

Instalación

apt update ; apt install -y git
git clone https://github.com/Brets0150/StickyExim.git
cd ./StickyExim/
chmod +x *.sh
./install_StickyExim.sh <DomainNameUsedForHoneyPot> <ExternalEmailAddressToSendTestEmailTo>

Ejemplo:

./install_StickyExim.sh  "definitelynotahoneypot.com" "[email protected]"

Después de la instalación, se enviará un correo de prueba a la dirección de correo electrónico que proporcionaste arriba. Si no recibes un correo, revisa el registro de correo (/var/log/exim4/maillog).

Configuración

nano honey_harvester_exim_cve-2019-10149.sh

Necesitas encontrar y actualizar dos variables al inicio de este script.

Este es el correo electrónico que aparecerá en los informes de abuso que se envíen. Por lo tanto, debe ser una dirección de correo electrónico válida. Es posible que te contacten las personas que reciben estos informes.

Ejemplo: [email protected] str_my_abuse_email_address_to_use_in_from_field=''

Esta dirección de correo electrónico debe ser diferente de "str_my_abuse_email_address_to_use_in_from_field". Este correo se utiliza para enviarte una copia de los informes de abuso para que estés al tanto de que se encontró un ataque. Dado que el dominio "str_my_abuse_email_address_to_use_in_from_field" será local para este sistema honeypot, no intentará enviar a un remoto. Sugiero agregar un subdominio.

Ejemplo: [email protected] str_my_abuse_email_address_to_send_copy_of_abuse_report=''

Pruebas

Si quieres probar para confirmar que el honeypot funciona, puedes usar este otro proyecto que encontré. https://github.com/cowbe0x004/eximrce-CVE-2019-10149

NOTA: Esto enviará un informe de abuso al propietario de la IP desde la que estás probando (es decir, tu ISP). Úsalo bajo tu propio riesgo.

¡Buena caza!