AutoHoneyPoC

AutoPoC ジェネレーター HoneyPoC アルティメットエディション。

このプロジェクトを初めて聞いた、または見た場合は、ブログ記事を読むことをお勧めします。 https://blog.zsec.uk/honeypoc-ultimate/

AutoPoC を公開していますが、このフレームワーク自体は、自動化されたバックエンドを構築するためのいくつかの前提条件を必要とするため無害です。ただし、生成されるコードは技術的にはマルウェアです。取り扱いには注意し、教育目的などに使用してください。犯罪やその他の混乱に使用した場合、私は責任を負いません。

コミット履歴内で認証情報が見られる可能性のあるアカウントは、すべて GitHub によって悪意のあるものとしてフラグが付けられるか、無効化されています ;)。

姉妹プロジェクト: SandboxSpy

使用方法:

python3 autopoc.py

出力例

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

認証情報 (.creds.env) の要件:

CVE_SEARCH : 検索して生成する CVE の種類の検索語
CANARY_AUTH_TOKEN : CanaryTokens API キー
CANARY_API_URL : 一意の Canary API URL blah.canary.tools
GITHUB_USERNAME : アップロード先の Git アカウントのユーザー名
GITHUB_TOKEN : ユーザーの個人アクセストークン
PASTE_API_KEY : Pastebin の API トークン
EMAIL_TO : 出力の送信先および送信元メールアドレス
EMAIL_PASSWORD : 認証用パスワード
EMAIL_SERVER : サーバー URL
EMAIL_SERVER_PORT : サーバーポート

このスクリプトの機能:

ステージ 1: データベース URL から CVE をポーリングし、リストに格納して反復処理し、各 CVE のカナリアトークンを作成する
ステージ 2a: Git リポジトリを作成し、更新をリポジトリにプッシュする
ステージ 2b: 新しいリポジトリが作成されたことをユーザーにメールで通知し、リポジトリリンク、CVE ID、カナリアトークン ID を記録する
ステージ 2c: Git リポジトリ名と CVE 情報を含む Pastebin エントリを作成する
ステージ 3: テンプレートから PoC を構築し、特定の PoC に CVE と CanaryID を入力する

各項目の場所

Canary Token: https://EXAMPLE.canary.tools/nest/
Github: https://github.com/USER/CVE-X.git
Pastebin: https://pastebin.com/randomstring

謝辞

https://twitter.com/BufferOfStyx - コードの一部のモジュール化を支援してくれたほか、初期のブレインストーミングのアイデアにも協力してくれました

追加機能

Slack 通知 - 技術的にはカナリアトークンを介して実装されていますが、Webhook URL/メソッドは WIP です
Discord 通知
Git 上で破壊されたアカウントのダッシュボードの構築を開始し、作成・削除された場所と日時を特定する

情報 + データ

CVE の詳細がどこにドロップされるかを収集する
実行とマッピングに関するデータを収集する

検出と対応

本職はブルーチーマーでも検出エンジニアでもありませんが、前述の Yara ルールは、お使いの環境内で過去に実行されたドメインとバイナリを検出するための私の試みです。

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

以下の Yara ルールは、PasteHunter のようなツールと組み合わせて、Pastebin リンク内の特定の文字列を検索するために使用できます。

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}

AutoHoneyPoC

人気

AutoHoneyPoC

使用方法:

出力例

認証情報 (.creds.env) の要件:

このスクリプトの機能:

各項目の場所

謝辞

追加機能

情報 + データ

検出と対応