wsus-decoy

CVE-2025-59287(WSUS)에 대한 방어적 개념 증명 디코이입니다. 이 디코이는 8530 및 8531 포트에서 WSUS 웹 엔드포인트를 에뮬레이션하고, 전체 HTTP 요청 본문과 헤더를 캡처하여 포렌식 분석을 위한 증거를 저장하며, 엔드포인트, 파일 및 프로세스 텔레메트리를 검증하기 위한 Windows 테스트 하네스를 포함합니다. 또한 예시 탐지 규칙(KQL 및 Suricata)과 Sentinel 플레이북 템플릿도 포함합니다.

중요: 이 프로젝트는 엄격히 방어 목적입니다. 익스플로잇 코드가 포함되어 있지 않습니다. 격리된 랩 또는 분리된 테스트 환경에서만 실행하십시오. 위험을 이해하고 모니터링 체계가 갖춰지지 않은 한 디코이를 프로덕션 네트워크에 노출하지 마십시오.

저장소 구성

• WSUS 유사 엔드포인트를 캡처 서비스로 프록시하는 nginx 구성
• 요청 본문과 메타데이터를 디스크에 기록하는 Flask 기반 캡처 서비스
• 로그 파일을 생성하고 탐지 검증을 위해 cmd.exe -> powershell -EncodedCommand를 실행하는 Windows PowerShell 하네스
• 의심스러운 WSUS POST를 탐지하는 Suricata 규칙
• Microsoft Sentinel에서 높은 신뢰도 및 조기 경고 탐지를 위한 KQL 쿼리 (X의 @0x534c Steven Lim 작성)
• 배포 및 테스트 가이드

빠른 시작(로컬 랩)

1. 이 저장소를 클론합니다.
2. capture/ 디렉터리에 Python venv를 생성한 후 pip install -r requirements.txt를 실행합니다.
3. 필요한 경우 nginx/nginx.conf를 업데이트하고 디코이 호스트에서 8530 포트를 리슨하도록 nginx를 실행합니다.
4. Flask 캡처 서비스를 시작합니다(systemd 유닛 제공).
5. EDR이 활성화된 Windows 테스트 VM에서 windows-harness/wsus_test_harness.ps1을 실행합니다.
6. 캡처 테스트를 위해 http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx에 POST를 생성합니다.
7. 증거 아티팩트를 SIEM 또는 Log Analytics 작업 영역에 수집하고 제공된 KQL 쿼리를 실행하여 검증합니다.

전체 지침은 docs/deployment.md 및 docs/testing.md를 참조하십시오.

기업용

• lupovis.io 방문

라이선스 및 출처

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 전체 라이선스 전문은 LICENSE 파일을 참조하십시오.

Copyright (c) 2025 Lupovis

출처: Lupovis 작성
저장소: https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

안전 주의사항

항상 격리된 랩 또는 분리된 테스트 네트워크에서 실행하십시오. 실제 익스플로잇 페이로드를 사용하지 마십시오. 목적은 공격자 활동을 안전한 방식으로 캡처하고 분석하는 것입니다.