Honeybits

Un semplice strumento di PoC progettato per aumentare l'efficacia delle tue trappole diffondendo breadcrumb e honeytoken sui tuoi server e workstation di produzione, attirando l'aggressore verso i tuoi honeypot.

Autore: Adel "0x4D31" Karimi.

Versione Windows di questo progetto: honeybits-win

Contesto

Sebbene gli honeypot siano utilizzati dai ricercatori di sicurezza per studiare gli strumenti, le tecniche e le motivazioni degli aggressori da molti anni, non sono ancora stati ampiamente accettati e implementati negli ambienti di produzione. Un motivo è che l'implementazione tradizionale degli honeypot è statica e il successo si basa sulla scoperta da parte dell'aggressore (che di solito richiede una scansione di rete)!

Dando un'occhiata alla Mitre ATT&CK Matrix, vedrai che 'Network Service Scanning' è solo una delle tante attività post-compromissione. Più inserisci informazioni false o fuorvianti in risposta alle tecniche post-compromissione (in particolare le tecniche sotto le tattiche 'credential access', 'Discovery' e 'Lateral movement' nella matrice ATT&CK), maggiore è la probabilità di catturare gli aggressori. Honeybits ti aiuta ad automatizzare la creazione di breadcrumb/honeytoken sui tuoi server e workstation di produzione. Questi honeytoken o breadcrumb includono:

• Comandi bash_history falsi (come ssh, ftp, rsync, scp, mysql, wget, awscli)
• Credenziali e file di configurazione AWS falsi (è necessario creare utenti AWS IAM fittizi senza autorizzazioni e generare chiavi di accesso per loro)
• File di configurazione, backup e connessione come RDP e VPN
• Voci false in hosts, tabella ARP, ecc.
• Cronologia browser, segnalibri e password salvate false
• Credenziali false iniettate in LSASS
• Chiavi di registro false

Caratteristiche

• Creazione di honeyfile e monitoraggio dell'accesso a queste trappole utilizzando go-audit o auditd
• Generatore di contenuti basato su template per gli honeyfile
• Inserimento di honeybits nei file di configurazione e credenziali AWS
• Inserimento di honeybits in /etc/hosts
• Lettura della configurazione da un Remote Key/Value Store come Consul o etcd
• Inserimento di diversi honeybits in "bash_history", inclusi i seguenti comandi di esempio:
  • ssh (sshpass -p '123456' ssh -p 2222 [email protected])
  • ftp (ftp ftp://backup:[email protected]:2121)
  • rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
  • mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
  • wget (wget http://192.168.1.66:8080/backup.zip)
  • comandi personalizzati: (nano /tmp/backup/credentials.txt)
  • aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

Requisiti

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit o auditd (se si desidera monitorare gli honeyfile)

Utilizzo:

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

DA FARE:

• Riscrivere tutto il codice. Il codice attuale è pessimo (solo un PoC)!
• Migliorare il generatore di contenuti
• Più trappole, tra cui:
  • Documenti beacon
  • File KeePass con voci (.kdbx)
  • File/backup di database: SQLite, MySQL
  • Risultati falsi di scansioni di sicurezza come output di Nmap
  • File binari con IP/credenziali hardcoded
• Più trappole di rete
  • PCAP falso/traffico di rete contenente credenziali, ecc.
  • Voci false nella tabella ARP
  • Monitoraggio delle trappole di rete utilizzando go-audit
• Completare la versione Windows (honeybits-win)
• Documentazione