AutoHoneyPoC

Generatore AutoPoC HoneyPoC edizione definitiva.

Se è la prima volta che senti parlare o vedi il progetto, vorrai leggere il post sul blog. https://blog.zsec.uk/honeypoc-ultimate/

Mentre rilascio AutoPoC, il framework da solo è innocuo poiché richiede alcuni prerequisiti per costruire il backend automatizzato, ma il codice generato è tecnicamente malware, quindi fai attenzione a cosa ne fai, ed è per scopi educativi ecc.; non sono responsabile se lo usi per crimini o altri caos.

Tutti gli account nella cronologia dei commit dove potresti vedere credenziali sono stati o segnalati da GitHub come dannosi o appiattiti ;).

Progetto gemello: SandboxSpy

Uso:

python3 autopoc.py

Output di Esempio

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

Requisiti in termini di credenziali (.creds.env):

• CVE_SEARCH : Il termine di ricerca per il tipo di CVE da cercare e generare
• CANARY_AUTH_TOKEN : Chiave API CanaryTokens
• CANARY_API_URL : URL API canary univoco blah.canary.tools
• GITHUB_USERNAME : Nome utente dell'account git su cui caricare
• GITHUB_TOKEN : Token di accesso personale per l'utente
• PASTE_API_KEY : Token API per Pastebin
• EMAIL_TO : Email a cui inviare l'output e da cui proviene
• EMAIL_PASSWORD : Password per l'autenticazione
• EMAIL_SERVER : URL del server
• EMAIL_SERVER_PORT : Porta del server

Cosa fa questo script:

1. Fase 1: Interroga i CVE dall'URL del database e li inserisce in un elenco su cui iterare per creare token canary per ogni CVE
2. Fase 2a: Crea un repository Git e invia gli aggiornamenti al repository
3. Fase 2b: Invia un'email di avviso all'utente che è stato creato un nuovo repository, documentando il collegamento al repository, l'ID CVE e l'ID CanaryToken
4. Fase 2c: Crea una voce su Pastebin con il nome del repository git e le informazioni sul CVE
5. Fase 3: Costruisci il PoC dai modelli, inserisci il CVE e il CanaryID nel PoC specifico

Posizioni delle cose

• Token Canary: https://EXAMPLE.canary.tools/nest/
• GitHub: https://github.com/USER/CVE-X.git
• Pastebin: https://pastebin.com/randomstring

Ringraziamenti

• https://twitter.com/BufferOfStyx - Ha aiutato con la modularizzazione di parte del codice, ha anche aiutato con le idee iniziali di brainstorming

Altre Funzioni

• Notificatore Slack - tecnicamente implementato tramite token canary, ma un URL/metodo webhook è in lavorazione (WIP)
• Notificatore Discord
• Iniziare a creare una dashboard degli account distrutti su git e capire dove/quando sono stati creati/eliminati

Informazioni + dati

• Raccogliere dove vengono inseriti i dettagli del CVE
• Raccogliere dati su esecuzioni e mapping

Rilevamento e Risposta

Non sono un blue teamer o un ingegnere del rilevamento di professione; tuttavia, le regole Yara sopra riportate sono il mio tentativo di fornire una qualche forma di rilevamento per i domini e i binari eseguiti storicamente nel vostro ambiente.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

La seguente regola yara può essere utilizzata con qualcosa come PasteHunter per cercare stringhe specifiche nei link di Pastebin.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}