wsus-decoy

Оборонительный proof-of-concept приманка для CVE-2025-59287 (WSUS). Приманка эмулирует веб-эндпоинты WSUS на портах 8530 и 8531, перехватывает полные тела HTTP-запросов и заголовки, сохраняет доказательства для криминалистического анализа и включает тестовый стенд Windows для проверки телеметрии эндпоинтов, файлов и процессов. Также включает примеры правил обнаружения (KQL и Suricata) и шаблон playbook для Sentinel.

ВАЖНО: Этот проект строго оборонительный. Он не содержит эксплойт-кода. Запускайте только в изолированной лаборатории или сегментированной тестовой среде. Не подвергайте приманку воздействию производственных сетей, если вы не понимаете риски и не имеете средств мониторинга.

Содержимое репозитория

• Конфигурация nginx для проксирования эндпоинтов, подобных WSUS, в службу перехвата
• Служба перехвата на базе Flask, которая записывает тела запросов и метаданные на диск
• Стенд PowerShell для Windows для создания файла журнала и запуска cmd.exe -> powershell -EncodedCommand для проверки обнаружения
• Правила Suricata для обнаружения подозрительных POST-запросов WSUS
• Запросы KQL для обнаружения с высокой степенью уверенности и раннего предупреждения в Microsoft Sentinel (От @0x534c Steven Lim в X)
• Руководства по развертыванию и тестированию

Быстрый старт (локальная лаборатория)

1. Клонируйте этот репозиторий.
2. В capture/ создайте виртуальное окружение Python, затем pip install -r requirements.txt.
3. При необходимости обновите nginx/nginx.conf и запустите nginx на хосте приманки, прослушивающем порт 8530.
4. Запустите службу перехвата Flask (предоставлен systemd-юнит).
5. На тестовой виртуальной машине Windows с включенным EDR запустите windows-harness/wsus_test_harness.ps1.
6. Сгенерируйте POST-запрос на http://<decoy-ip>:8530/ReportWebService/ReportWebService.asmx для проверки перехвата.
7. Загрузите артефакты доказательств в вашу SIEM или рабочую область Log Analytics и выполните предоставленные запросы KQL для проверки.

Полные инструкции см. в docs/deployment.md и docs/testing.md.

Для предприятий

• Посетите lupovis.io

Лицензия и атрибуция

Этот проект лицензирован по лицензии MIT. Полный текст лицензии см. в файле LICENSE.

Авторские права (c) 2025 Lupovis

Атрибуция: Создано Lupovis
Репозиторий: https://github.com/Lupovis/Honeypot-for-CVE-2025-59287-WSUS/

Примечание по безопасности

Всегда запускайте это в изолированной лаборатории или сегментированной тестовой сети. Не используйте реальные эксплойт-полезные нагрузки. Цель — безопасно перехватывать и анализировать активность злоумышленников.