AutoHoneyPoC

AutoPoC Generator HoneyPoC edición definitiva.

Si es la primera vez que oyes o ves el proyecto, querrás leer la entrada del blog. https://blog.zsec.uk/honeypoc-ultimate/

Aunque estoy publicando AutoPoC, el framework por sí solo es inofensivo, ya que requiere algunos requisitos previos para construir el backend automatizado, pero el código generado es técnicamente malware, así que ten cuidado con lo que haces con él, y es para fines educativos, etc.; no me hago responsable si lo usas para cometer delitos u otro caos.

Todas las cuentas en el historial de commits donde puedas ver credenciales han sido marcadas por GitHub como maliciosas o aplanadas ;).

Proyecto hermano: SandboxSpy

Usage:

python3 autopoc.py

Ejemplo de salida

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

Requisitos en cuanto a credenciales (.creds.env):

• CVE_SEARCH : El término de búsqueda para el tipo de CVE a buscar y generar
• CANARY_AUTH_TOKEN : Clave API de CanaryTokens
• CANARY_API_URL : URL única de la API de canary, p. ej. blah.canary.tools
• GITHUB_USERNAME : Nombre de usuario de la cuenta de git a la que subir
• GITHUB_TOKEN : Token de acceso personal del usuario
• PASTE_API_KEY : Token API para Pastebin
• EMAIL_TO : Correo electrónico al que enviar la salida y desde el que se envía
• EMAIL_PASSWORD : Contraseña para la autenticación
• EMAIL_SERVER : URL del servidor
• EMAIL_SERVER_PORT : Puerto del servidor

Qué hace este script:

1. Etapa 1: Consultar CVEs desde la URL de la base de datos y luego colocarlos en una lista para iterar sobre ellos y crear tokens canary para cada CVE
2. Etapa 2a: Crear un repositorio Git y enviar actualizaciones al repositorio
3. Etapa 2b: Enviar una alerta por correo al usuario de que se ha creado un nuevo repositorio, documentando el enlace del repositorio, el ID de CVE y el ID de CanaryToken
4. Etapa 2c: Crear una entrada en Pastebin con el nombre del repositorio git e información del CVE
5. Etapa 3: Construir el PoC a partir de plantillas, introduciendo el CVE y el CanaryID en el PoC específico

Ubicaciones de las cosas

• Canary Token: https://EXAMPLE.canary.tools/nest/
• Github: https://github.com/USER/CVE-X.git
• Pastebin: https://pastebin.com/randomstring

Agradecimientos

• https://twitter.com/BufferOfStyx - Ayudó con la modularización de parte del código y también con las primeras sesiones de lluvia de ideas

Más funciones

• Notificador de Slack - técnicamente implementado mediante canary tokens, pero una URL/método de webhook está en progreso (WIP)
• Notificador de Discord
• Empezar a construir un panel de cuentas destruidas en git y averiguar dónde/cuándo se crearon/eliminaron

Información + datos

• Recopilar dónde se publican los detalles del CVE
• Recopilar datos sobre ejecuciones y mapeo

Detección y respuesta

No soy un miembro de equipo azul ni un ingeniero de detección de profesión; sin embargo, las reglas Yara anteriores son mi intento de ofrecer cierta detección para los dominios y binarios que se ejecutan históricamente en tu entorno.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

La siguiente regla Yara se puede usar con algo como PasteHunter para buscar cadenas específicas en los enlaces de Pastebin.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}