xz-vulnerable-honeypot

XZ バックドアを備えた SSH ハニーポット。CVE-2024-3094

TODO: バックドアや sshd をフックします。復号用の RSA 鍵を記録します。

メモ:

• https://gist.github.com/smx-smx/a6112d54777845d389bd7126d6e9f504
• https://gist.github.com/q3k/af3d93b6a1f399de28fe194add452d01
• https://github.com/hamarituc/xz-backdoor

警告

これを別の隔離されたシステムで実行してください。Docker は、脅威アクターが容易にエスケープできるような構成になっています。 Docker は、すべての共有ライブラリを動作させて構成するためにのみ使用されています。

インストール

以下のコマンドを使用して、projectdiscovery の notify をインストールします:

go install -v github.com/projectdiscovery/notify/cmd/notify@latest

以下のコマンドを実行してハニーポットを起動します:

./monitor.sh DISCORD_WEBHOOK_URL

例:

./monitor.sh https://discord.com/api/webhooks/12345678909876/aaaaaaaa

これにより、notify を使用してすべてのログが Discord ウェブフックに送信されます。

仕組み

脆弱性のある xz (5.6.1) と、fedora リポジトリの liblzma にリンクされた sshd が、バックドアを有効化する構成で実行されます。監視は、bpftrace、strace、tcpdump、および sshd プロセス自体によって提供されます。

• bpftrace
  • システムコールの監視と共有ライブラリのフッキング。
• strace
  • 親 sshd プロセスのシステムコール監視。
• tcpdump
  • パケットのキャプチャ。
• sshd
  • ログインイベント (注記 バックドアは set_log_mask を使用して、攻撃者がログインを試みたときにログの動作を変更するため、これでは悪意のあるアクターのログインイベントを取得できない可能性が高いです)