wsus-decoy

Оборонительный proof-of-concept приманка для CVE-2025-59287 (WSUS). Приманка эмулирует веб-эндпоинты WSUS на портах 8530 и 8531, перехватывает полные тела HTTP-запросов и заголовки, сохраняет доказательства для криминалистического анализа и включает тестовый стенд Windows для проверки телеметрии эндпоинтов, файлов и процессов. Также включает примеры правил обнаружения (KQL и Suricata) и шаблон playbook для Sentinel.

ВАЖНО: Этот проект строго оборонительный. Он не содержит эксплойт-кода. Запускайте только в изолированной лаборатории или сегментированной тестовой среде. Не подвергайте приманку воздействию производственных сетей, если вы не понимаете риски и не имеете средств мониторинга.

Содержимое репозитория

• Конфигурация nginx для проксирования эндпоинтов, подобных WSUS, в службу перехвата
• Служба перехвата на базе Flask, которая записывает тела запросов и метаданные на диск
• Стенд PowerShell для Windows для создания файла журнала и запуска cmd.exe -> powershell -EncodedCommand для проверки обнаружения
• Правила Suricata для обнаружения подозрительных POST-запросов WSUS
• Запросы KQL для обнаружения с высокой степенью уверенности и раннего предупреждения в Microsoft Sentinel (От @0x534c Steven Lim в X)
• Руководства по развертыванию и тестированию

Быстрый старт (локальная лаборатория)

1. Клонируйте этот репозиторий.
2. В capture/ создайте виртуальное окружение Python, затем pip install -r requirements.txt.