Coldframe: Ein leichtgewichtiger Honeypot für Kühlsteuerungen im Einzelhandel

Ende 2026 richtete sich eine Welle von Angriffen gegen internet-exponierte Kühlungs-Supervisoren in ganz Europa. Dabei wurden Standard-Zugangsdaten und ungepatchte Firmware ausgenutzt, um Abtauzyklen zu erzwingen. Als Reaktion darauf wurde das Open-Source-Projekt coldframe veröffentlicht – ein spezialisierter Honeypot, der diese verwundbaren industriellen Geräte nachahmt. Er ermöglicht es Sicherheitsteams, das Verhalten von Angreifern zu beobachten, ohne die tatsächliche Infrastruktur zu gefährden.

Was passiert ist

Angreifer identifizierten Tausende exponierter Kühlungs-Controller, insbesondere die Serien Danfoss AK-SM 800A und Copeland/Dixell XWEB 500. Durch die Ausnutzung bekannter Schwachstellen und schwacher Werks-Passwörter verschafften sie sich Zugang zu diesen Operational-Technology-(OT)-Systemen. Nach dem Eindringen manipulierte sie die Umgebungssteuerung und lösten unnötige Abtauzyklen aus, die Waren verderben und Lieferketten stören konnten.

coldframe begegnet dieser Bedrohung durch einen Köder, der wie genau diese Controller aussieht und sich verhält. Das Tool ist als einzelne Python-Datei ohne externe Abhängigkeiten konzipiert, was die Bereitstellung und Prüfung erleichtert. Es protokolliert jeden Verbindungsversuch, Passwortrat und Exploit-Payload, sendet aber keine echten Daten an den Angreifer zurück. Dieser Ansatz wandelt eine Schwachstelle in eine Chance zur Informationsgewinnung um.

Das Projekt unterstützt zwei unterschiedliche Personas. Die danfoss-Persona emuliert das Systemmanager-Gerät AK-SM 800A und stellt eine gefälschte StoreView-Anmeldeseite und ein Dashboard bereit. Die dixell-Persona ahmt den XWEB-EVO-Supervisor nach und repliziert dessen spezifische CGI-Pfade und Anmeldeabläufe. Beide Personas sind so gestaltet, dass sie die anfänglichen Fingerprinting-Prüfungen bestehen, die sowohl von automatisierten Scannern als auch von menschlichen Angreifern verwendet werden.

Wie es funktioniert

coldframe erreicht Realismus durch das sorgfältige Kopieren der Netzwerk-Fingerabdrücke echter Geräte. Für die Danfoss-Persona repliziert es die Reihenfolge der nginx-Server-Header, beschränkt TLS auf Version 1.2 und verwendet ein selbstsigniertes Zertifikat mit exakt dem Common Name CN=DanfossSM800A. Wenn entsprechend konfiguriert, liefert es sogar eine bytegenaue Kopie der Angular-Ladeseite, die in öffentlichen Firmware-Paketen gefunden wird. Dies stellt sicher, dass Scanner, die Geräte-Hashes abgleichen, sehen, was sie erwarten.

Der Honeypot interagiert mit Angreifern, indem er bekannte schwache Zugangsdaten wie Supervisor / 12345 akzeptiert oder die Authentifizierung unter Verwendung dokumentierter Exploits wie CVE-2025-41450 umgeht. Wenn sich ein Angreifer anmeldet, erhält er ein statisches Dashboard mit gefälschten Kühlmöbeln und Abtautasten. Jede ausgeführte Aktion, wie das Klicken einer Abtautaste, wird als control-Ereignis protokolliert, hat aber keinen Einfluss auf physische Hardware. Die Dixell-Persona akzeptiert ähnlich die Werksstandard-Anmeldung Admin / Admin und erzwingt eine Kontosperrung nach fünf fehlgeschlagenen Versuchen, genau wie das reale Gerät.

Optional kann coldframe einen Modbus-TCP-Dienst betreiben, um generische industrielle Scanner anzulocken. Dieser Dienst liefert gefälschte Temperaturmessungen und Sollwerte. Da echte AK-SM-800A-Einheiten Modbus jedoch typischerweise nur für die interne Kommunikation verwenden, ist diese Funktion standardmäßig deaktiviert, um ein realistisches Profil beizubehalten. Alle Interaktionen werden im JSON-Line-Format aufgezeichnet und erfassen Quell-IPs, Payloads und spezifische Exploit-Versuche.

Wichtige Details

• Keine Abhängigkeiten: Der Kern-Honeypot ist eine einzelne Python-Datei, die nur die Standardbibliothek nutzt, was die Bereitstellung vereinfacht und die Angriffsfläche reduziert.
• Zwei Personas: Unterstützt die Emulation von Danfoss-AK-SM-800A- und Copeland/Dixell-XWEB-EVO-Controllern mit unterschiedlichen Web-Oberflächen und API-Verhalten.
• Exploit-Erkennung: Erkennt und protokolliert Versuche für sieben spezifische CVEs, einschließlich Pfadtraversierung, Befehlsinjektion und Authentifizierungsumgehungen wie CVE-2025-41450 und CVE-2026-25085.
• Realistisches Fingerprinting: Repliziert Server-Header, TLS-Konfigurationen, Zertifikats-Subjekte und optionale Firmware-Assets, um einfache Scanner-Filter zu umgehen.
• Sichere Isolation: Läuft in einem schreibgeschützten Container mit entfernten Capabilities und User-Namespace-Isolation, sodass der Host auch bei Kompromittierung des Honeypots sicher bleibt.
• Modbus-Unterstützung: Optionales Modbus-TCP-Listener mit gefälschten Registerdaten zur Erfassung breiterer industrieller Scan-Aktivitäten.

Warum es wichtig ist

Für Sicherheitsingenieure und OT-Spezialisten bietet coldframe Transparenz über aktive Bedrohungen für kritische Infrastrukturen. Kühlungs-Controller werden in Sicherheitsaudits oft übersehen, da sie als einfache Geräte wahrgenommen werden, obwohl sie komplexe Webserver und Betriebssysteme ausführen. Durch den Einsatz dieser Honeypots können Organisationen erkennen, wenn Angreifer ihren Netzwerkrand nach IoT-Geräten absuchen, bevor sie lateral zu sensibleren Systemen vordringen.

Das Tool hilft auch dabei, defensive Maßnahmen zu validieren. Indem Teams sehen, welche Exploits in freier Wildbahn versucht werden, können sie das Patching für spezifische Schwachstellen priorisieren, wie etwa den „Code of the Day“-Bypass in Danfoss-Geräten. Die detaillierten Protokolle ermöglichen es Analysten, die Taktiken, Techniken und Verfahren (TTPs) von Angreifern zu verstehen, die spezifisch für den Einzelhandels- und Lebensmittelversorgungssektor sind. Diese Informationen sind entscheidend für die Erstellung besserer Erkennungsregeln und die Härtung realer Geräte gegen ähnliche Angriffe.

Darüber hinaus macht der geringe Ressourcenverbrauch von coldframe es sowohl für kleine Unternehmen als auch für große Unternehmen zugänglich. Es kann auf einer minimalen Cloud-Instanz oder einem lokalen Raspberry Pi bereitgestellt werden und bietet eine kostengünstige Möglichkeit, IoT-fokussierte Bedrohungen zu überwachen. Der Fokus auf Sicherheit, mit strenger Eingabesanitizeierung und Ressourcenlimits, stellt sicher, dass das Überwachungstool selbst nicht zum Risiko wird.

Was Sie tun können

• Stellen Sie eine coldframe-Instanz bei einem Cloud-Anbieter über das bereitgestellte cloud-init-Skript bereit, um schnell mit der Überwachung von Angriffen auf Port 80 und 443 zu beginnen.
• Konfigurieren Sie die Umgebungsvariable PERSONA, um sie an die spezifischen Typen von Controllern in Ihrer eigenen Umgebung anzupassen, um relevantere Threat Intelligence zu erhalten.
• Überprüfen Sie regelmäßig die Protokolldatei events.jsonl oder nutzen Sie das enthaltene Skript summary.py, um neue Angriffsmuster und Quell-IPs zu identifizieren.
• Härten Sie Ihre echten OT-Geräte, indem Sie Standard-Passwörter ändern, ungenutzte Dienste wie Modbus deaktivieren, falls nicht benötigt, und Firmware-Updates für bekannte CVEs einspielen.
• Verwenden Sie die erfassten Exploit-Payloads, um Ihre Regeln für Web Application Firewalls (WAF) und Signaturen für Intrusion Detection Systems (IDS) zu aktualisieren.
• Tragen Sie zum Projekt bei, indem Sie False Positives melden oder Verbesserungen an der Persona-Treue vorschlagen, um den Honeypot effektiv gegen sich entwickelnde Scanner zu halten.