Coldframe: Un honeypot ligero para controladores de refrigeración de supermercados

A finales de 2026, una oleada de ataques tuvo como objetivo supervisores de refrigeración expuestos a Internet en toda Europa, explotando credenciales predeterminadas y firmware sin parches para forzar ciclos de desescarche. En respuesta, se lanzó el proyecto de código abierto coldframe como un honeypot especializado diseñado para imitar estos dispositivos industriales vulnerables. Permite a los equipos de seguridad observar el comportamiento del atacante sin poner en riesgo la infraestructura real.

Qué ocurrió

Los atacantes identificaron miles de controladores de refrigeración expuestos, específicamente las series Danfoss AK-SM 800A y Copeland/Dixell XWEB 500. Aprovechando vulnerabilidades conocidas y contraseñas de fábrica débiles, obtuvieron acceso a estos sistemas de tecnología operativa (OT). Una vez dentro, manipularon los controles ambientales, provocando ciclos de desescarche innecesarios que podrían estropear el inventario y interrumpir las cadenas de suministro.

coldframe aborda esta amenaza proporcionando un señuelo que parece y se comporta como estos controladores específicos. Está construido como un único archivo Python sin dependencias externas, lo que facilita su despliegue y auditoría. La herramienta registra cada intento de conexión, suposición de contraseña y carga útil de exploit, sin devolver nada real al atacante. Este enfoque convierte una vulnerabilidad en una oportunidad de recopilación de inteligencia.

El proyecto admite dos perfiles distintos. El perfil danfoss emula el gestor de sistema AK-SM 800A, sirviendo un inicio de sesión y panel de control StoreView falsos. El perfil dixell imita el supervisor XWEB EVO, replicando sus rutas CGI específicas y flujos de inicio de sesión. Ambos perfiles están diseñados para superar las comprobaciones iniciales de huella digital utilizadas tanto por escáneres automatizados como por atacantes humanos.

Cómo funciona

coldframe logra realismo copiando cuidadosamente las huellas digitales de red de los dispositivos reales. Para el perfil Danfoss, replica el orden de las cabeceras del servidor nginx, restringe TLS a la versión 1.2 y utiliza un certificado autofirmado con el nombre común exacto CN=DanfossSM800A. Incluso sirve una copia byte por byte de la página de carga Angular encontrada en paquetes de firmware públicos si está configurado para hacerlo. Esto garantiza que los escáneres que comparan hashes de dispositivos vean lo que esperan.

El honeypot interactúa con los atacantes aceptando credenciales débiles conocidas, como Supervisor / 12345, o eludiendo la autenticación mediante exploits documentados como CVE-2025-41450. Cuando un atacante inicia sesión, se le presenta un panel de control estático con vitrinas refrigeradas falsas y botones de desescarche. Cualquier acción tomada, como hacer clic en un botón de desescarche, se registra como un evento control, pero no tiene ningún efecto sobre el hardware físico. El perfil Dixell acepta de manera similar el inicio de sesión predeterminado de fábrica Admin / Admin y aplica el bloqueo de cuenta tras cinco intentos fallidos, igual que el dispositivo real.

Opcionalmente, coldframe puede ejecutar un servicio Modbus TCP para atraer a escáneres industriales genéricos. Este servicio proporciona lecturas de temperatura y puntos de ajuste falsos. Sin embargo, dado que las unidades AK-SM 800A reales suelen utilizar Modbus solo para comunicación interna, esta función está deshabilitada por defecto para mantener un perfil realista. Todas las interacciones se registran en formato JSON line, capturando IPs de origen, cargas útiles e intentos de exploit específicos.

Detalles clave

• Cero dependencias: El honeypot principal es un único archivo Python que utiliza solo la biblioteca estándar, simplificando el despliegue y reduciendo la superficie de ataque.
• Dos perfiles: Admite la emulación de los controladores Danfoss AK-SM 800A y Copeland/Dixell XWEB EVO con interfaces web y comportamientos de API distintos.
• Detección de exploits: Reconoce y registra intentos para siete CVEs específicos, incluyendo traversal de rutas, inyección de comandos y elusiones de autenticación como CVE-2025-41450 y CVE-2026-25085.
• Huella digital realista: Replica cabeceras de servidor, configuraciones TLS, sujetos de certificados y activos de firmware opcionales para evadir filtros simples de escáner.
• Contención segura: Se ejecuta en un contenedor de solo lectura con capacidades eliminadas y aislamiento de espacio de nombres de usuario, garantizando que, incluso si el honeypot se compromete, el host permanezca seguro.
• Soporte Modbus: Opción de listener Modbus TCP con datos de registro falsos para capturar actividad de escaneo industrial más amplia.

Por qué importa

Para ingenieros de seguridad y especialistas en OT, coldframe ofrece visibilidad sobre amenazas activas contra infraestructuras críticas. Los controladores de refrigeración a menudo se pasan por alto en las auditorías de seguridad porque se consideran electrodomésticos simples, aunque ejecutan servidores web complejos y sistemas operativos. Al desplegar estos honeypots, las organizaciones pueden detectar cuándo los atacantes están sondeando el perímetro de su red en busca de dispositivos IoT antes de moverse lateralmente hacia sistemas más sensibles.

La herramienta también ayuda a validar las medidas defensivas. Al ver qué exploits se están intentando en el mundo real, los equipos pueden priorizar la aplicación de parches para vulnerabilidades específicas, como la elusión "code of the day" en las unidades Danfoss. Los registros detallados permiten a los analistas comprender las tácticas, técnicas y procedimientos (TTP) de los atacantes específicos del sector minorista y de suministro de alimentos. Esta inteligencia es crucial para crear mejores reglas de detección y endurecer los dispositivos reales contra ataques similares.

Además, la baja huella de recursos de coldframe lo hace accesible tanto para pequeñas empresas como para grandes corporaciones. Puede desplegarse en una instancia mínima de nube o en una Raspberry Pi local, ofreciendo una forma asequible de monitorear amenazas centradas en IoT. El énfasis en la seguridad, con sanitización estricta de entradas y límites de recursos, garantiza que la propia herramienta de monitoreo no se convierta en una responsabilidad.

Qué puedes hacer

• Despliega una instancia de coldframe en un proveedor de nube utilizando el script cloud-init proporcionado para comenzar rápidamente a monitorear ataques en los puertos 80 y 443.
• Configura la variable de entorno PERSONA para que coincida con los tipos específicos de controladores presentes en tu propio entorno, obteniendo así una inteligencia de amenazas más relevante.
• Revisa regularmente el archivo de registro events.jsonl o utiliza el script incluido summary.py para identificar nuevos patrones de ataque e IPs de origen.
• Endurece tus dispositivos OT reales cambiando las contraseñas predeterminadas, deshabilitando servicios no utilizados como Modbus si no son necesarios y aplicando actualizaciones de firmware para CVEs conocidos.
• Utiliza las cargas útiles de exploits capturadas para actualizar las reglas de tu firewall de aplicaciones web (WAF) y las firmas de tu sistema de detección de intrusiones (IDS).
• Contribuye al proyecto reportando falsos positivos o sugiriendo mejoras en la fidelidad del perfil, ayudando a mantener la eficacia del honeypot frente a escáneres en evolución.