AutoHoneyPoC

AutoPoC Generator édition HoneyPoC ultime.

Si c'est la première fois que vous entendez parler ou voyez le projet, vous voudrez lire l'article de blog. https://blog.zsec.uk/honeypoc-ultimate/

Bien que je publie AutoPoC, le framework en lui-même est inoffensif car il nécessite quelques prérequis pour construire le backend automatisé, mais le code généré est techniquement un malware, alors faites attention à ce que vous en faites, et c'est à des fins éducatives, etc. ; je ne suis pas responsable si vous l'utilisez pour des activités criminelles ou d'autres chaos.

Tous les comptes dans l'historique des commits où vous pourriez voir des identifiants ont été soit signalés par GitHub comme malveillants, soit aplatis ;).

Projet frère : SandboxSpy

Utilisation :

python3 autopoc.py

Exemple de sortie

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Création du répertoire CVE-2021-23388
[*] Ouverture et traitement des données dans /path/to/template/template.poc.sh ...
[*] Fermeture de /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh généré !
[*] Ouverture et traitement des données dans /path/to/template/template.poc.go ...
[*] Fermeture de /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go généré !
[*] Compilation croisée réussie !
[*] Ouverture et traitement des données dans /path/to/template/template.poc.readme.md ...
[*] Fermeture de /path/to/template/template.poc.readme.md ...
[*] README.md généré !
b'https://pastebin.com/example'
Dépôt Git vide initialisé dans /path/to/template/CVE-2021-23388/.git/
[master (commit racine) b7115c3] Commit CVE-2021-23388
 3 fichiers modifiés, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Énumération des objets : 5, terminé.
Comptage des objets : 100% (5/5), terminé.
Compression delta en utilisant jusqu'à 16 threads
Compression des objets : 100% (5/5), terminé.
Écriture des objets : 100% (5/5), 3.37 MiB | 5.07 MiB/s, terminé.
Total 5 (delta 0), réutilisés 0 (delta 0)
Vers https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (mise à jour forcée)

Exigences en termes d'identifiants (.creds.env) :

• CVE_SEARCH : Le terme de recherche pour le type de CVE à rechercher et à générer
• CANARY_AUTH_TOKEN : Clé API CanaryTokens
• CANARY_API_URL : URL API canary unique blah.canary.tools
• GITHUB_USERNAME : Nom d'utilisateur du compte git sur lequel téléverser
• GITHUB_TOKEN : Jeton d'accès personnel pour l'utilisateur
• PASTE_API_KEY : Clé API pour pastebin
• EMAIL_TO : Adresse e-mail vers laquelle envoyer la sortie et depuis laquelle l'envoyer
• EMAIL_PASSWORD : Mot de passe pour l'authentification
• EMAIL_SERVER : URL du serveur
• EMAIL_SERVER_PORT : Port du serveur

Ce que fait ce script :

1. Étape 1 : Interroger les CVE depuis l'URL de la base de données puis les placer dans une liste pour itérer et créer des jetons canary pour chaque CVE
2. Étape 2a : Créer un dépôt Git et pousser les mises à jour vers le dépôt
3. Étape 2b : Envoyer à l'utilisateur une alerte e-mail indiquant qu'un nouveau dépôt a été créé, documenter le lien du dépôt, l'ID CVE et l'ID du jeton Canary
4. Étape 2c : Créer une entrée Pastebin avec le nom du dépôt git et les informations sur la CVE
5. Étape 3 : Construire le PoC à partir des modèles, saisir la CVE et l'ID Canary dans le PoC spécifique

Emplacements des choses

• Jeton Canary : https://EXAMPLE.canary.tools/nest/
• Github : https://github.com/USER/CVE-X.git
• Pastebin : https://pastebin.com/randomstring

Remerciements

• https://twitter.com/BufferOfStyx - A aidé à la modularisation d'une partie du code, a également aidé au brainstorming initial des idées

Plus de fonctions

• Notificateur Slack - techniquement implémenté via les jetons canary, mais une URL/méthode webhook est en cours de développement
• Notificateur Discord
• Commencer à construire un tableau de bord des comptes détruits sur git et déterminer où/quand ils ont été créés/supprimés

Informations et données

• Recueillir où les détails des CVE sont déposés
• Recueillir des données sur les exécutions et la cartographie

Détection et réponse

Je ne suis pas un blue teamer ou un ingénieur en détection de métier ; cependant, les règles Yara ci-dessous sont ma tentative de détection pour les domaines et les binaires exécutés historiquement dans votre environnement.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

La règle Yara suivante peut être utilisée avec un outil comme PasteHunter pour rechercher des chaînes spécifiques dans les liens Pastebin.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}