AutoHoneyPoC

Gerador AutoPoC HoneyPoC edição definitiva.

Se esta é a primeira vez que você ouviu falar ou viu o projeto, você vai querer ler o post do blog. https://blog.zsec.uk/honeypoc-ultimate/

Embora eu esteja lançando o AutoPoC, o framework por si só é inofensivo, pois requer alguns pré-requisitos para construir o backend automatizado, mas o código gerado é tecnicamente malware, então tenha cuidado com o que você faz com ele, e é para fins educacionais etc; não sou responsável se você usá-lo para crimes ou outros caos.

Todas as contas no histórico de commits onde você possa ver credenciais foram sinalizadas pelo GitHub como maliciosas ou achatadas ;).

Projeto irmão: SandboxSpy

Uso:

python3 autopoc.py

Exemplo de Saída

CVE-2021-23388
5.0
CVE-2020-1920
5.0
CVE-2021-24316
4.3
3/5
[*] Making Directory CVE-2021-23388
[*] Openning and processing Data in /path/to/template/template.poc.sh ...
[*] Closing /path/to/template/template.poc.sh ...
[*] CVE-2021-23388.sh generated!
[*] Openning and processing Data in /path/to/template/template.poc.go ...
[*] Closing /path/to/template/template.poc.go ...
[*] CVE-2021-23388.go generated!
[*] Cross Compile Success!
[*] Openning and processing Data in /path/to/template/template.poc.readme.md ...
[*] Closing /path/to/template/template.poc.readme.md ...
[*] README.md generated!
b'https://pastebin.com/example'
Initialized empty Git repository in /path/to/template/CVE-2021-23388/.git/
[master (root-commit) b7115c3] CVE-2021-23388 Commit
 3 files changed, 55 insertions(+)
 create mode 100644 CVE-2021-23388.exe
 create mode 100644 CVE-2021-23388.sh
 create mode 100644 README.md
Enumerating objects: 5, done.
Counting objects: 100% (5/5), done.
Delta compression using up to 16 threads
Compressing objects: 100% (5/5), done.
Writing objects: 100% (5/5), 3.37 MiB | 5.07 MiB/s, done.
Total 5 (delta 0), reused 0 (delta 0)
To https://github.com/example/CVE-2021-23388.git
 + b96f2b3...b7115c3 main -> main (forced update)

Requisitos em termos de credenciais (.creds.env):

• CVE_SEARCH : O termo de busca para o tipo de CVE a procurar e gerar
• CANARY_AUTH_TOKEN : Chave de API do CanaryTokens
• CANARY_API_URL : URL única da API canary blah.canary.tools
• GITHUB_USERNAME : Nome de usuário da conta git para upload
• GITHUB_TOKEN : Token de acesso pessoal do usuário
• PASTE_API_KEY : Token de API para o Pastebin
• EMAIL_TO : E-mail para enviar e receber a saída
• EMAIL_PASSWORD : Senha para autenticação
• EMAIL_SERVER : URL do servidor
• EMAIL_SERVER_PORT : Porta do servidor

O que este script faz:

1. Etapa 1: Consultar CVEs da URL do banco de dados e depois colocá-los em uma lista para iterar e criar canary tokens para cada CVE
2. Etapa 2a: Criar repositório Git e enviar atualizações para o repositório
3. Etapa 2b: Enviar alerta por e-mail ao usuário de que um novo repositório foi criado, documentar o link do repositório, o ID do CVE e o ID do CanaryToken
4. Etapa 2c: Criar uma entrada no Pastebin com o nome do repositório git e informações do CVE
5. Etapa 3: Construir PoC a partir de templates, inserir o CVE e o CanaryID no PoC específico

Locais para as coisas

• Canary Token: https://EXAMPLE.canary.tools/nest/
• Github: https://github.com/USER/CVE-X.git
• Pastebin: https://pastebin.com/randomstring

Agradecimentos

• https://twitter.com/BufferOfStyx - Ajudou com a modularização de parte do código e também ajudou com as ideias iniciais de brainstorming

Mais Funções

• Notificador do Slack - tecnicamente implementado por meio de canary tokens, mas uma URL/método de webhook está em andamento (WIP)
• Notificador do Discord
• Começar a construir um painel de contas destruídas no git e descobrir onde/quando foram criadas/excluídas

Informações + dados

• Coletar onde os detalhes do CVE são depositados
• Coletar dados sobre execuções e mapeamento

Detecção e Resposta

Não sou um profissional de blue team nem engenheiro de detecção de formação; no entanto, as regras Yara a seguir são minha tentativa de detecção para os domínios e binários que foram executados historicamente no seu ambiente.

rule HoneyPoC_URLDetect {

meta:
description = "HoneyPoC AutoPoC URL detection"
author = "Andy Gill"
reference = "blog.zsec.uk/honeypoc-ultimate/"
date = "2021/11/13"
hash = "b6807027ac171252cf47eb28454c044644352c9f2fabd65d3f23075a0e395768"

strings:
 $a = "honeypoc.io" nocase
 $b = "canarytokens.com" nocase
 $c = "givemeyourpasswords.ninja" nocase
 
 condition:
    $a or $b or $c
 }

A seguinte regra Yara pode ser usada com algo como PasteHunter para procurar strings específicas em links do Pastebin.

rule HoneyPoC_Pastebin
{
    meta:
    description = "HoneyPoC AutoPoC Pastebin detection"
    author = "Andy Gill"
    reference = "blog.zsec.uk/honeypoc-ultimate/"
    date = "2021/11/13"

    strings:
        $a = "New PoC Published for" nocase wide ascii fullword


    condition:
        $a
}