wsus-decoy

Señuelo de prueba de concepto defensivo para CVE-2025-59287 (WSUS). El señuelo emula los endpoints web de WSUS en los puertos 8530 y 8531, captura cuerpos de solicitudes HTTP completos y cabeceras, almacena evidencia para análisis forense, e incluye un arnés de pruebas de Windows para validar telemetría de endpoints, archivos y procesos. También incluye reglas de detección de ejemplo (KQL y Suricata) y una plantilla de playbook de Sentinel.

IMPORTANTE: Este proyecto es estrictamente defensivo. No contiene código de explotación. Ejecútelo únicamente en un laboratorio aislado o en un entorno de pruebas segmentado. No exponga el señuelo a redes de producción a menos que comprenda los riesgos y tenga monitorización implementada.

Contenido del repositorio

• Configuración de nginx para proxy de endpoints similares a WSUS hacia un servicio de captura
• Servicio de captura basado en Flask que escribe cuerpos de solicitudes y metadatos en disco
• Arnés de PowerShell para Windows que crea el archivo de registro y ejecuta cmd.exe -> powershell -EncodedCommand para validación de detección
• Reglas de Suricata para detectar POSTs sospechosos de WSUS
• Consultas KQL para detección de alta confianza y alerta temprana en Microsoft Sentinel (De @0x534c Steven Lim en X)
• Guías de despliegue y pruebas

Inicio rápido (laboratorio local)

1. Clone este repositorio.
2. En capture/ cree un venv de Python y luego pip install -r requirements.txt.