wsus-decoy

Prova de conceito defensiva de isca para CVE-2025-59287 (WSUS). A isca emula endpoints web do WSUS nas portas 8530 e 8531, captura corpos e cabeçalhos completos de requisições HTTP, armazena evidências para análise forense e inclui um harness de teste para Windows para validar telemetria de endpoints, arquivos e processos. Também inclui exemplos de regras de detecção (KQL e Suricata) e um modelo de playbook para Sentinel.

IMPORTANTE: Este projeto é estritamente defensivo. Não contém código de exploração. Execute apenas em laboratório isolado ou ambiente de teste segmentado. Não exponha a isca a redes de produção, a menos que você entenda os riscos e tenha monitoramento em vigor.

Conteúdo do repositório

• Configuração do nginx para fazer proxy de endpoints semelhantes ao WSUS para um serviço de captura
• Serviço de captura baseado em Flask que grava corpos de requisições e metadados em disco
• Harness PowerShell para Windows para criar o arquivo de log e gerar cmd.exe -> powershell -EncodedCommand para validação de detecção
• Regras Suricata para detectar POSTs suspeitos ao WSUS
• Consultas KQL para detecção de alta confiança e alerta precoce no Microsoft Sentinel (De @0x534c Steven Lim no X)
• Guias de implantação e teste

Início rápido (laboratório local)

1. Clone este repositório.
2. Em capture/, crie um venv Python e execute pip install -r requirements.txt.