Show HN: Coldframe、スーパーマーケットの冷蔵庫コントローラーを装うハニーポット
Show HN: Coldframe, a honeypot that poses as a supermarket fridge controller (github.com)
要約
Coldframeは、スーパーマーケットの冷蔵庫コントローラー（Danfoss AK-SM 800AおよびDixell XWEBインターフェース）を模倣するように設計されたハニーポットです。攻撃者が説得力のある偽の産業用制御システムにどのように対するかを研究することを目的としており、実際のデバイスのネットワーク署名に一致させ、特定の脆弱性攻撃を認識します。現時点では、一般的なスキャナーのみが検出されています。
全文翻訳
過去数週間の産業用冷蔵庫設置での出来事に触発され、説得力のある偽物に対して人々がどのような攻撃を試みるかを見るために、スーパーマーケットの冷凍コントローラーを装うハニーポットであるColdframeを構築しました。
これについてさらに学ぶために、Danfoss AK-SM 800AおよびDixell XWEBインターフェースに完全に似せたハニーポットを構築しました。これらはどちらもShodanで実際のデバイスとして認識されており（ハニーポットではありません）、標準ライブラリのみを使用したPythonファイル1つで構成されています。eppser/danfoss-ak-sm-decoyおよびSynacktiv、Claroty、Ironhackersによる公開研究に基づいています。
正しく実装するのが楽しかった点：
- 実際のユニットとの一致: Shodanの実際のデバイスの記録を使用して、ヘッダーの順序、ページタイトル、証明書のフィールド、TLSバージョンを一致させました。Danfossのペルソナは、実際のAK-SM 800Aと同じ順序でnginxヘッダーを送信します。DixellのペルソナはServerヘッダーを送信せず、ページを正確に8,202バイトにパディングします。
- エクスプロイト試行の認識: CVE-2025-41450（Danfossの「コード・オブ・ザ・デイ」ログインバイパス）を認識し、送信されたコードがその日の正しいコードであるかどうかを記録します。また、他の3つのDanfoss CVEおよびXWEBの脆弱性を標的とする試行にもタグ付けします。
- 侵入の許可: デフォルトのログインで偽の店舗ダッシュボードが開き、解凍ボタンが表示されるため、最初の動きだけでなく2番目の動きも見ることができます。その背後にあるものは何も本物ではありません。
2つのインスタンスが1日稼働しています。これまでのところ、 generic scanners と Shodan のクローラー（refrigerator.census.shodan.io と呼ばれる）しか検出していません。
フィールドでこれらのデバイスを見たことがある方からのフィードバックを歓迎します！