Honeybits

Uma ferramenta PoC simples projetada para aumentar a eficácia das suas armadilhas, espalhando breadcrumbs & honeytokens pelos seus servidores e estações de trabalho de produção para atrair o atacante para seus honeypots.

Autor: Adel "0x4D31" Karimi.

A versão Windows deste projeto: honeybits-win

Contexto

Embora os honeypots sejam usados por pesquisadores de segurança para estudar as ferramentas, técnicas e motivos dos atacantes há muitos anos, ainda não foram amplamente aceitos e implantados em ambientes de produção. Uma razão é que a implementação tradicional de honeypots é estática e o sucesso depende de um atacante descobri-lo (o que geralmente requer varredura de rede)!

Dando uma olhada na Matriz MITRE ATT&CK, você verá que 'Network Service Scanning' é apenas uma das muitas atividades pós-compromisso diferentes. Quanto mais você plantar informações falsas ou enganosas em resposta às técnicas pós-compromisso (especialmente as técnicas sob as táticas de 'Credential Access', 'Discovery' e 'Lateral Movement' na matriz ATT&CK), maior a chance de capturar os atacantes. Honeybits ajuda você a automatizar a criação de breadcrumbs/honeytokens em seus servidores e estações de trabalho de produção. Esses honeytokens ou breadcrumbs incluem:

• Comandos falsos de bash_history (como ssh, ftp, rsync, scp, mysql, wget, awscli)
• Arquivos de configuração e credenciais AWS falsos (você precisa criar usuários IAM AWS falsos sem permissões e gerar chaves de acesso para eles)
• Arquivos de configuração, backup e conexão como RDP e VPN
• Entradas falsas em hosts, tabela ARP, etc.
• Histórico de navegação falso, favoritos e senhas salvas
• Credenciais falsas injetadas no LSASS
• Chaves de registro falsas

Funcionalidades

• Criar honeyfiles e monitorar o acesso a essas armadilhas usando go-audit ou auditd
• Gerador de conteúdo baseado em modelos para honeyfiles
• Inserir honeybits no arquivo de configuração e credenciais da AWS
• Inserir honeybits em /etc/hosts
• Ler configuração de um armazenamento remoto de chave/valor como Consul ou etcd
• Inserir diferentes honeybits no "bash_history", incluindo os seguintes comandos de exemplo:

• ssh (sshpass -p '123456' ssh -p 2222 [email protected])
• ftp (ftp ftp://backup:[email protected]:2121)
• rsync (rsync -avz -e 'ssh -p 2222' [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
• scp (scp -P 2222 [email protected]:/var/db/backup.tar.gz /tmp/backup.tar.gz)
• mysql (mysql -h 192.168.1.66 -P 3306 -u dbadmin -p12345 -e "show databases")
• wget (wget http://192.168.1.66:8080/backup.zip)
• any custom commands: (nano /tmp/backup/credentials.txt)
• aws:

export AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE
export AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws ec2 describe-instances --profile devops --region us-east-2

Requisitos

• Go Lang 1.7+
• Viper (go get github.com/spf13/viper)
• crypt (go get github.com/xordataexchange/crypt/config)
• go-audit ou auditd (se quiser monitorar os honeyfiles)

Uso:

$ go build
$ sudo ./honeybits 

Failed reading remote config. Reading the local config file...
Local config file loaded.

[failed] honeyfile already exists at this path: /tmp/secret.txt
[done] go-audit rule for /home/test/secret.txt is added
[done] honeyfile is created (/home/test/secret.txt)
[done] go-audit rule for /opt/secret.txt is added
[done] sshpass honeybit is inserted
[done] wget honeybit is inserted
[done] ftp honeybit is inserted
[done] rsync honeybit is inserted
[done] scp honeybit is inserted
[done] mysql honeybit is inserted
[failed] aws honeybit already exists
[done] hostsconf honeybit is inserted
[done] awsconf honeybit is inserted
[done] awscred honeybit is inserted
[done] custom honeybit is inserted

Tarefas pendentes:

• Reescrever todo o código. O código atual é uma porcaria (apenas um PoC)!
• Melhorar o gerador de conteúdo
• Mais armadilhas, incluindo:
  • Documentos beacon
  • Arquivo KeePass com entradas (.kdbx)
  • Arquivos/backups de banco de dados: SQLite, MySQL
  • Resultados falsos de varredura de segurança como saída do Nmap
  • Arquivos binários com IP/credenciais embutidos
• Mais armadilhas de rede
  • PCAP falso / tráfego de rede contendo credenciais, etc.
  • Entradas falsas na tabela ARP
  • Monitorar armadilhas de rede usando go-audit
• Completar a versão Windows (honeybits-win)
• Documentação