wsus-decoy

Preuve de concept défensive (leurre) pour CVE-2025-59287 (WSUS). Le leurre émule les points de terminaison web WSUS sur les ports 8530 et 8531, capture l'intégralité des corps de requêtes HTTP et des en-têtes, stocke les preuves pour analyse forensique, et inclut un harnais de test Windows pour valider la télémétrie des points de terminaison, des fichiers et des processus. Il inclut également des exemples de règles de détection (KQL et Suricata) et un modèle de playbook Sentinel.

IMPORTANT : Ce projet est strictement défensif. Il ne contient aucun code d'exploitation. À exécuter uniquement dans un laboratoire isolé ou un environnement de test segmenté. N'exposez pas le leurre sur des réseaux de production, sauf si vous comprenez les risques et disposez d'une surveillance en place.

Contenu du dépôt

• Configuration nginx pour rediriger les points de terminaison de type WSUS vers un service de capture
• Service de capture basé sur Flask qui écrit les corps de requêtes et les métadonnées sur disque
• Harnais PowerShell Windows pour créer le fichier journal et lancer cmd.exe -> powershell -EncodedCommand pour la validation de la détection
• Règles Suricata pour détecter les POST WSUS suspects
• Requêtes KQL pour la détection à haute confiance et l'alerte précoce dans Microsoft Sentinel (De @0x534c Steven Lim sur X)
• Guides de déploiement et de test

Démarrage rapide (laboratoire local)

1. Clonez ce dépôt.
2. Dans capture/, créez un environnement virtuel Python, puis .