honeypot.rs

CVE-2023-46604（Apache ActiveMQ RCE脆弱性）をスコープとするハニーポットで、侵害指標（IoC）の取得に重点を置いています。このハニーポットは、あらゆる脅威インテリジェンス基盤で使用でき、攻撃者のIPアドレス、ポストエクスプロイテーションサンプル、マルウェアサンプルを取得できます。これらの情報は、将来の攻撃を検出し防止するのに役立ちます。

仕組み

実際の攻撃では、攻撃者はApache ActiveMQサービスに特定のパケットを送信します。このパケットには、クラス org.springframework.context.support.ClassPathXmlApplicationContext を持つExceptionResponseと、XMLペイロードのURLを含むMessageが含まれています。

攻撃例

次に、脆弱なサービスがXMLペイロードをダウンロードします。このペイロードには通常、RCEコマンドが含まれています。

XMLペイロード例

このハニーポットは脆弱なApache ActiveMQサービスをシミュレートし、攻撃者のIPアドレス、XMLペイロードのURL、XMLペイロードからのRCEコマンドを抽出します。その後、この情報はJSONから解析できます。

ハニーポットのログは、Service.tomlで指定したlogfileパスで確認できます。

ハニーポットログ

ハニーポットは解析可能なインジケータを含むJSON出力も生成します。Service.tomlでoutfileのパスを指定できます。

JSON出力

インストール

ハニーポットは、Docker版として自身のサーバー（例：VPSやVDS）にデプロイできます。

設定

サービス設定ファイル Service.toml は自分で変更できます:

service_ip = "0.0.0.0" # listen ip address
service_port = 61616 # port (default for Apache ActiveMQ 61616)
logfile = "logs/service.log" # main log file
outfile = "logs/out.json" # output json for parsing
api_enabled = false # enabled or disable api for downloading honeypot results (true/false)
api_ip = "0.0.0.0" # listen ip address for api
api_port = 9123 # port for api
api_user = "user" # user for api auth
api_password = "" # password for api auth

out.jsonにアクセスしたい場合は、APIを有効にできます。結果はcurlを使用してダウンロードできます。

curl -X POST http://<api_ip>:<api_port>/ --data 'username=<api_user>&password=<api_password>'

Dockerを使用

git clone https://github.com/mranv/honeypot.rs -b main
cd activemq-honeypot
docker compose up --build -d

また、元のApache ActiveMQ（存在する場合）を無効にし、設定したポートが他のプロセスで使用されていないことを確認してください。サービスのビルドには時間がかかる場合があります。

また、main.rsのLevelFilterをDebugに変更すると、より詳細なデバッグ情報が得られます。

デバッグLevelFilter