wsus-decoy

Proof of concept difensivo per CVE-2025-59287 (WSUS). Il decoy emula gli endpoint web WSUS sulle porte 8530 e 8531, cattura l'intero corpo delle richieste HTTP e le intestazioni, salva le prove per l'analisi forense e include un harness di test Windows per validare la telemetria di endpoint, file e processi. Include inoltre regole di rilevamento di esempio (KQL e Suricata) e un modello di playbook per Sentinel.

IMPORTANTE: Questo progetto è strettamente difensivo. Non contiene codice di exploit. Eseguire solo in un laboratorio isolato o in un ambiente di test segmentato. Non esporre il decoy a reti di produzione a meno che non si comprendano i rischi e non si disponga di monitoraggio attivo.

Contenuto del repository

• Configurazione nginx per inoltrare endpoint simili a WSUS a un servizio di cattura
• Servizio di cattura basato su Flask che scrive su disco i corpi delle richieste e i metadati
• Harness PowerShell per Windows per creare il file di log e generare cmd.exe -> powershell -EncodedCommand per la validazione del rilevamento
• Regole Suricata per rilevare POST WSUS sospetti
• Query KQL per il rilevamento ad alta confidenza e di pre-allarme in Microsoft Sentinel (Da @0x534c Steven Lim su X)
• Guide di distribuzione e test

Avvio rapido (laboratorio locale)

1. Clonare questo repository.
2. In capture/ creare un venv Python, quindi pip install -r requirements.txt.