Honeybits

Un outil PoC simple conçu pour améliorer l’efficacité de vos pièges en dispersant des miettes de pain et des honeytokens sur vos serveurs de production et postes de travail, afin d’attirer l’attaquant vers vos honeypots.

Auteur : Adel « 0x4D31 » Karimi.

La version Windows de ce projet : honeybits-win

Contexte

Bien que les honeypots soient utilisés par les chercheurs en sécurité pour étudier les outils, techniques et motivations des attaquants depuis de nombreuses années, ils n’ont toujours pas été largement acceptés et déployés dans les environnements de production. Une raison est que l’implémentation traditionnelle des honeypots est statique et que leur succès repose sur la découverte par un attaquant (ce qui nécessite généralement un scan réseau) !

En consultant la Matrice MITRE ATT&CK, vous constaterez que « Scan des services réseau » n’est qu’une des nombreuses activités post-compromission. Plus vous plantez d’informations fausses ou trompeuses en réponse aux techniques post-compromission (notamment les techniques sous les tactiques « Accès aux identifiants », « Découverte » et « Mouvement latéral » de la matrice ATT&CK), plus grandes sont vos chances de capturer les attaquants. Honeybits vous aide à automatiser la création de miettes de pain/honeytokens sur vos serveurs et postes de travail de production. Ces honeytokens ou miettes de pain incluent :

• Fausses commandes bash_history (telles que ssh, ftp, rsync, scp, mysql, wget, awscli)
• Faux fichiers de configuration et d’identifiants AWS (vous devez créer de faux utilisateurs AWS IAM sans permissions et générer des clés d’accès pour eux)
• Fichiers de configuration, de sauvegarde et de connexion tels que RDP et VPN
• Fausses entrées dans hosts, table ARP, etc.
• Faux historique de navigation, favoris et mots de passe enregistrés
• Fausses identifiants injectés dans LSASS
• Fausses clés de registre

Fonctionnalités

• Création de honeyfiles et surveillance de l’accès à ces pièges à l’aide de go-audit ou auditd
• Générateur de contenu basé sur des modèles pour les honeyfiles
• Insertion de honeybits dans les fichiers AWS config et credentials
• Insertion de honeybits dans /etc/hosts
• Lecture de la configuration depuis un magasin de clés/valeurs distant tel que Consul ou etcd
• Insertion de différents honeybits dans « bash_history », incluant les exemples de commandes suivants :
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • commandes personnalisées : (nano /tmp/backup/credentials.txt)
  • aws :

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

Prérequis

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit ou auditd (si vous souhaitez surveiller les honeyfiles)

Utilisation :

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

À faire :

• Réécrire tout le code. Le code actuel est de la camelote (juste un PoC) !
• Améliorer le générateur de contenu
• Plus de pièges, incluant :
  • Documents beacon
  • Fichier KeePass avec entrées (.kdbx)
  • Fichiers/sauvegardes de bases de données : SQLite, MySQL
  • Faux résultats de scan de sécurité (ex. sortie Nmap)
  • Fichiers binaires avec adresse IP / identifiants codés en dur
• Plus de pièges réseau
  • Faux PCAP / trafic réseau contenant des identifiants, etc.
  • Fausses entrées de table ARP
  • Surveillance des pièges réseau avec go-audit
• Terminer la version Windows (honeybits-win)
• Documentation