AutoHoneyPoC

AutoPoC 생성기 HoneyPoC 얼티밋 에디션.

이 프로젝트를 처음 보거나 들어봤다면 블로그 게시물을 읽어보시기 바랍니다. https://blog.zsec.uk/honeypoc-ultimate/

AutoPoC를 공개하는 동안, 프레임워크 자체는 자동화된 백엔드를 구축하는 데 필요한 몇 가지 사전 요구사항이 필요하기 때문에 무해하지만, 출력된 코드는 기술적으로 악성코드입니다. 따라서 무엇에 사용할지 주의해야 하며, 교육 목적 등으로만 사용해야 합니다. 범죄나 기타 혼란에 사용할 경우 저는 책임을 지지 않습니다.

커밋 기록에서 자격 증명(creds)을 볼 수 있는 모든 계정은 GitHub에서 악성으로 플래그 처리되었거나 무력화되었습니다 ;).

자매 프로젝트: SandboxSpy

사용법:

python3 autopoc.py

예시 출력

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

자격 증명(.creds.env) 관련 요구사항:

CVE_SEARCH : 검색하고 생성할 CVE 유형에 대한 검색어
CANARY_AUTH_TOKEN : CanaryTokens API 키
CANARY_API_URL : 고유한 canary API URL(예: blah.canary.tools)
GITHUB_USERNAME : 업로드할 git 계정의 사용자 이름
GITHUB_TOKEN : 사용자의 개인 액세스 토큰
PASTE_API_KEY : pastebin용 API 토큰
EMAIL_TO : 출력을 보내고 받을 이메일 주소
EMAIL_PASSWORD : 인증용 비밀번호
EMAIL_SERVER : 서버 URL
EMAIL_SERVER_PORT : 서버 포트

이 스크립트의 기능:

1단계: 데이터베이스 URL에서 CVE를 폴링한 다음 목록에 담아 각 CVE에 대한 canary 토큰을 만들기 위해 반복합니다.
2a단계: Git 리포지토리를 생성하고 리포지토리에 업데이트를 푸시합니다.
2b단계: 새 리포지토리가 생성되었음을 사용자에게 이메일 알림으로 보내고, 리포지토리 링크, CVEID 및 CanaryToken ID를 문서화합니다.
2c단계: git 리포지토리 이름과 CVE 정보로 Pastebin 항목을 만듭니다.
3단계: 템플릿에서 PoC를 빌드하고, CVE와 CanaryID를 특정 PoC에 입력합니다.

자료 위치

Canary 토큰: https://EXAMPLE.canary.tools/nest/
Github: https://github.com/USER/CVE-X.git
Pastebin: https://pastebin.com/randomstring

감사의 말

https://twitter.com/BufferOfStyx - 일부 코드의 모듈화를 도왔고, 초기 브레인스토밍 아이디어도 도왔습니다.

추가 기능

Slack 알림 - 기술적으로는 canary 토큰을 통해 구현되지만, 웹훅 URL/방식은 작업 진행 중(WIP)입니다.
Discord 알림
git에서 삭제된 계정의 대시보드 구축을 시작하고 생성/삭제된 위치와 시점을 파악합니다.

정보 + 데이터

CVE 세부 정보가 저장되는 위치 수집
실행 및 매핑에 대한 데이터 수집

탐지 및 대응

저는 직업상 블루 팀원이나 탐지 엔지니어는 아닙니다. 다만 위의 Yara 규칙은 사용자 환경 내에서 과거에 실행된 도메인과 바이너리에 대한 탐지를 시도한 것입니다.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

다음 Yara 규칙은 PasteHunter와 같은 도구와 함께 사용하여 Pastebin 링크에서 특정 문자열을 검색하는 데 사용할 수 있습니다.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}

AutoHoneyPoC

인기

AutoHoneyPoC

사용법:

예시 출력

자격 증명(.creds.env) 관련 요구사항:

이 스크립트의 기능:

자료 위치

감사의 말

추가 기능

정보 + 데이터

탐지 및 대응