wsus-decoy

Proof of concept difensivo per CVE-2025-59287 (WSUS). Il decoy emula gli endpoint web WSUS sulle porte 8530 e 8531, cattura l'intero corpo delle richieste HTTP e le intestazioni, salva le prove per l'analisi forense e include un harness di test Windows per validare la telemetria di endpoint, file e processi. Include inoltre regole di rilevamento di esempio (KQL e Suricata) e un modello di playbook per Sentinel.

IMPORTANTE: Questo progetto è strettamente difensivo. Non contiene codice di exploit. Eseguire solo in un laboratorio isolato o in un ambiente di test segmentato. Non esporre il decoy a reti di produzione a meno che non si comprendano i rischi e non si disponga di monitoraggio attivo.

Contenuto del repository

• Configurazione nginx per inoltrare endpoint simili a WSUS a un servizio di cattura
• Servizio di cattura basato su Flask che scrive su disco i corpi delle richieste e i metadati
• Harness PowerShell per Windows per creare il file di log e generare cmd.exe -> powershell -EncodedCommand per la validazione del rilevamento
• Regole Suricata per rilevare POST WSUS sospetti
• Query KQL per il rilevamento ad alta confidenza e di pre-allarme in Microsoft Sentinel (Da @0x534c Steven Lim su X)
• Guide di distribuzione e test

Avvio rapido (laboratorio locale)

1. Clonare questo repository.
2. In capture/ creare un venv Python, quindi pip install -r requirements.txt.
3. Aggiornare nginx/nginx.conf se necessario ed eseguire nginx sull'host decoy in ascolto sulla porta 8530.
4. Avviare il servizio di cattura Flask (unità systemd inclusa).
5. Su una VM Windows di test con EDR abilitato, eseguire windows-harness/wsus_test_harness.ps1.
6. Generare una POST verso http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx per testare la cattura.
7. Ingerire gli artefatti delle prove nel proprio SIEM o nell'area di lavoro Log Analytics ed eseguire le query KQL fornite per la validazione.

Vedere docs/deployment.md e docs/testing.md per le istruzioni complete.

Per le aziende

• Visita lupovis.io

Licenza e attribuzione

Questo progetto è concesso in licenza sotto la MIT License. Vedere il file LICENSE per il testo completo della licenza.

Copyright (c) 2025 Lupovis

Attribuzione: Creato da Lupovis
Repository: https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

Nota di sicurezza

Eseguire sempre questo progetto in un laboratorio isolato o in una rete di test segmentata. Non utilizzare payload di exploit reali. L'intento è catturare e analizzare l'attività degli attaccanti in modo sicuro.