Coldframe : un honeypot léger pour les contrôleurs de réfrigération des supermarchés

Fin 2026, une vague d'attaques a ciblé les superviseurs de réfrigération exposés sur Internet à travers l'Europe, exploitant des identifiants par défaut et des micrologiciels non corrigés pour forcer des cycles de dégivrage. En réponse, le projet open-source coldframe a été publié sous la forme d'un honeypot spécialisé conçu pour imiter ces dispositifs industriels vulnérables. Il permet aux équipes de sécurité d'observer le comportement des attaquants sans mettre en danger l'infrastructure réelle.

Ce qui s'est passé

Les attaquants ont identifié des milliers de contrôleurs de réfrigération exposés, notamment les séries Danfoss AK-SM 800A et Copeland/Dixell XWEB 500. En tirant parti de vulnérabilités connues et de mots de passe d'usine faibles, ils ont obtenu l'accès à ces systèmes de technologie opérationnelle (OT). Une fois à l'intérieur, ils ont manipulé les contrôles environnementaux, déclenchant des cycles de dégivrage inutiles susceptibles d'endommager les stocks et de perturber les chaînes d'approvisionnement.

coldframe répond à cette menace en fournissant un leurre qui ressemble et se comporte comme ces contrôleurs spécifiques. Il est construit sous la forme d'un seul fichier Python sans dépendances externes, ce qui facilite son déploiement et son audit. L'outil enregistre chaque tentative de connexion, devinette de mot de passe et charge utile d'exploitation, sans rien renvoyer de réel à l'attaquant. Cette approche transforme une vulnérabilité en une opportunité de collecte de renseignements.

Le projet prend en charge deux personas distincts. Le persona danfoss émule le gestionnaire système AK-SM 800A, servant une fausse page de connexion StoreView et un tableau de bord. Le persona dixell imite le superviseur XWEB EVO, reproduisant ses chemins CGI spécifiques et ses flux de connexion. Les deux personas sont conçus pour passer les premières vérifications d'empreinte numérique utilisées par les scanners automatisés et les attaquants humains.

Fonctionnement

coldframe atteint le réalisme en copiant soigneusement les empreintes réseau des appareils réels. Pour le persona Danfoss, il répète l'ordre des en-têtes du serveur nginx, limite TLS à la version 1.2 et utilise un certificat auto-signé avec le nom commun exact CN=DanfossSM800A. Il sert même, si configuré ainsi, une copie octet par octet de la page de chargement Angular trouvée dans les packages de micrologiciel publics. Cela garantit que les scanners correspondant aux hachages des appareils voient ce qu'ils attendent.

Le honeypot interagit avec les attaquants en acceptant des identifiants faibles connus, tels que Supervisor / 12345, ou en contournant l'authentification via des exploits documentés comme CVE-2025-41450. Lorsqu'un attaquant se connecte, il voit un tableau de bord statique présentant de faux casiers réfrigérés et des boutons de dégivrage. Toute action entreprise, comme le clic sur un bouton de dégivrage, est enregistrée comme un événement control mais n'a aucun effet sur le matériel physique. Le persona Dixell accepte de manière similaire la connexion par défaut d'usine Admin / Admin et force le verrouillage du compte après cinq tentatives échouées, tout comme le vrai appareil.

Optionnellement, coldframe peut exécuter un service Modbus TCP pour attirer les scanners industriels génériques. Ce service fournit de fausses lectures de température et points de consigne. Cependant, comme les unités AK-SM 800A réelles utilisent généralement Modbus uniquement pour la communication interne, cette fonctionnalité est désactivée par défaut pour maintenir un profil réaliste. Toutes les interactions sont enregistrées au format JSON line, capturant les IP sources, les charges utiles et les tentatives d'exploitation spécifiques.

Détails clés

• Zéro dépendance : Le cœur du honeypot est un seul fichier Python utilisant uniquement la bibliothèque standard, simplifiant le déploiement et réduisant la surface d'attaque.
• Deux personas : Prend en charge l'émulation des contrôleurs Danfoss AK-SM 800A et Copeland/Dixell XWEB EVO avec des interfaces web et des comportements API distincts.
• Détection d'exploits : Reconnaît et journalise les tentatives pour sept CVE spécifiques, incluant la traversée de chemin, l'injection de commandes et les contournements d'authentification comme CVE-2025-41450 et CVE-2026-25085.
• Empreinte numérique réaliste : Répète les en-têtes du serveur, les configurations TLS, les sujets des certificats et les actifs optionnels du micrologiciel pour contourner les filtres simples des scanners.
• Confinement sécurisé : S'exécute dans un conteneur en lecture seule avec des capacités supprimées et une isolation d'espace utilisateur, garantissant que même si le honeypot est compromis, l'hôte reste sûr.
• Prise en charge de Modbus : Écouteur Modbus TCP optionnel avec données de registre factices pour capturer une activité de scan industriel plus large.

Pourquoi c'est important

Pour les ingénieurs de sécurité et les spécialistes OT, coldframe offre une visibilité sur les menaces actives pesant sur les infrastructures critiques. Les contrôleurs de réfrigération sont souvent négligés lors des audits de sécurité car ils sont considérés comme de simples électroménagers, alors qu'ils exécutent des serveurs web complexes et des systèmes d'exploitation. En déployant ces honeypots, les organisations peuvent détecter quand les attaquants sondent leur périmètre réseau pour des appareils IoT avant de se déplacer latéralement vers des systèmes plus sensibles.

L'outil aide également à valider les mesures défensives. En voyant quels exploits sont tentés dans la nature, les équipes peuvent prioriser la correction de vulnérabilités spécifiques comme le contournement « code of the day » dans les unités Danfoss. Les journaux détaillés permettent aux analystes de comprendre les tactiques, techniques et procédures (TTP) des attaquants spécifiques au secteur de la vente au détail et de l'alimentation. Ces renseignements sont cruciaux pour élaborer de meilleures règles de détection et durcir les vrais appareils contre des attaques similaires.

De plus, l'empreinte faible en ressources de coldframe le rend accessible aux petites entreprises comme aux grandes corporations. Il peut être déployé sur une instance cloud minimale ou un Raspberry Pi local, offrant un moyen abordable de surveiller les menaces axées sur l'IoT. L'accent mis sur la sécurité, avec une assainissement strict des entrées et des limites de ressources, garantit que l'outil de surveillance lui-même ne devient pas un passif.

Ce que vous pouvez faire

• Déployez une instance coldframe sur un fournisseur cloud en utilisant le script cloud-init fourni pour commencer rapidement à surveiller les attaques sur les ports 80 et 443.
• Configurez la variable d'environnement PERSONA pour correspondre aux types spécifiques de contrôleurs présents dans votre propre environnement afin d'obtenir des renseignements sur les menaces plus pertinents.
• Passez régulièrement en revue le fichier journal events.jsonl ou utilisez le script inclus summary.py pour identifier de nouveaux motifs d'attaque et IP sources.
• Durcissez vos vrais appareils OT en changeant les mots de passe par défaut, en désactivant les services inutilisés comme Modbus si nécessaire, et en appliquant les mises à jour du micrologiciel pour les CVE connues.
• Utilisez les charges utiles d'exploitation capturées pour mettre à jour les règles de votre pare-feu applicatif web (WAF) et les signatures de votre système de détection d'intrusion (IDS).
• Contribuez au projet en signalant les faux positifs ou en suggérant des améliorations à la fidélité des personas, aidant ainsi à maintenir l'efficacité du honeypot face aux scanners évoluant constamment.