xz-कमजोर-हनीपॉट

XZ बैकडोर के साथ एक ssh हनीपॉट। CVE-2024-3094

TODO: बैकडोर और/या sshd को हुक करें। डिक्रिप्शन के लिए rsa कुंजियाँ लॉग करें।

नोट्स:

• https://gist.github.com/smx-smx/a6112d54777845d389bd7126d6e9f504
• https://gist.github.com/q3k/af3d93b6a1f399de28fe194add452d01
• https://github.com/hamarituc/xz-backdoor

चेतावनी

कृपया इसे एक अलग पृथक सिस्टम पर चलाएँ। Docker इस तरह कॉन्फ़िगर किया गया है जो एक खतरे के अभिनेता को आसानी से इससे बचने की अनुमति देता है। Docker का उपयोग केवल सभी साझा लाइब्रेरीज़ को काम और कॉन्फ़िगर करने के लिए किया जाता है।

स्थापना

निम्न कमांड का उपयोग करके projectdiscovery द्वारा notify स्थापित करें:

go install -v github.com/projectdiscovery/notify/cmd/notify@latest

हनीपॉट शुरू करने के लिए निम्न कमांड चलाएँ:

./monitor.sh DISCORD_WEBHOOK_URL

जैसे,

./monitor.sh https://discord.com/api/webhooks/12345678909876/aaaaaaaa

यह notify का उपयोग करके सभी लॉग को discord वेबहुक पर भेजेगा।

यह कैसे काम करता है

xz का कमजोर संस्करण (5.6.1) और fedora रिपॉजिटरीज़ से liblzma से लिंक्ड sshd का संस्करण उस कॉन्फ़िगरेशन में चलाया जाता है जो बैकडोर को सक्रिय करता है। निगरानी bpftrace, strace, tcpdump, और sshd प्रक्रिया द्वारा प्रदान की जाती है।

• bpftrace
  • सिस्कॉल निगरानी और साझा लाइब्रेरी हुकिंग।
• strace
  • जनक sshd प्रक्रिया के लिए सिस्कॉल निगरानी।
• tcpdump
  • पैकेट कैप्चर करना।
• sshd
  • लॉगिन ईवेंट (नोट यह संभवतः एक बुरे अभिनेता के लिए लॉगिन ईवेंट को कैप्चर नहीं करेगा क्योंकि बैकडोर set_log_mask का उपयोग करके लॉगिंग व्यवहार को बदल देता है जब हमलावर लॉगिन करने का प्रयास करता है)