Coldframe: 冷蔵設備コントローラー向けの軽量ハニポット

2026年末、ヨーロッパ全域でインターネットに接続された冷蔵監視システムを狙った攻撃の波が発生しました。攻撃者はデフォルト認証情報や未パッチのファームウェアを悪用し、解凍サイクルを強制させました。これに対し、これらの脆弱な産業用デバイスを模倣するように設計された専用ハニポットとして、オープンソースプロジェクト「coldframe」がリリースされました。このツールにより、セキュリティチームは実際のインフラストラクチャを危険にさらすことなく、攻撃者の挙動を観察できます。

何が起きたか

攻撃者は数千台もの露出している冷蔵コントローラー、特にDanfoss AK-SM 800AおよびCopeland/Dixell XWEB 500シリーズを特定しました。既知の脆弱性と弱い工場出荷時パスワードを利用することで、これらの運用技術（OT）システムへのアクセス権を獲得しました。侵入後、環境制御を操作し、在庫の劣化やサプライチェーンの混乱を引き起こす可能性のある不要な解凍サイクルをトリガーしました。

coldframeは、これらの特定のコントローラーのように見え、振る舞うデコイ（おとり）を提供することで、この脅威に対処します。外部依存関係のない単一のPythonファイルとして構築されており、展開と監査が容易です。このツールはすべての接続試行、パスワード推測、エクスプロイトペイロードを記録しますが、攻撃者には何も本物のデータを返しません。このアプローチにより、脆弱性を情報収集の機会に変えます。

このプロジェクトは2つの異なるペルソナをサポートしています。danfossペルソナはAK-SM 800Aシステムマネージャーをエミュレートし、偽のStoreViewログインページとダッシュボードを提供します。dixellペルソナはXWEB EVO監視システムを模倣し、その固有のCGIパスとログインフローを再現します。両方のペルソナは、自動化されたスキャナーと人間の攻撃者の双方が使用する初期フィンガープリントチェックを通過するように設計されています。

仕組み

coldframeは、実デバイスのネットワークフィンガープリントを慎重にコピーすることで現実味を実現します。Danfossペルソナの場合、nginxサーバーヘッダーの順序を複製し、TLSをバージョン1.2に制限し、正確な共通名CN=DanfossSM800Aを持つ自己署名証明書を使用します。設定によっては、公開ファームウェアパッケージで見つかるAngularローダーページのバイト単位のコピーを提供することもあります。これにより、デバイスハッシュを照合するスキャナーは期待通りの結果を得ます。

ハニポットは、Supervisor / 12345などの既知の弱い認証情報を受け入れたり、CVE-2025-41450などの文書化されたエクスプロイトを使用して認証をバイパスしたりすることで、攻撃者とやり取りします。攻撃者がログインすると、偽の冷蔵ケースと解凍ボタンを備えた静的ダッシュボードが表示されます。解凍ボタンのクリックなど、実行されたアクションはcontrolイベントとして記録されますが、物理ハードウェアには何の影響も及ぼしません。Dixellペルソナも同様に、工場出荷時のデフォルトであるAdmin / Adminログインを受け入れ、実デバイスと同様に5回の失敗後にアカウントロックアウトを適用します。

オプションで、coldframeは汎用的な産業用スキャナーを引きつけるためにModbus TCPサービスを実行できます。このサービスは偽の温度読み取り値と設定値を提供します。ただし、実際のAK-SM 800Aユニットは通常、内部通信のみでModbusを使用するため、現実的なプロファイルを維持するためにこの機能はデフォルトで無効になっています。すべてのインタラクションはJSONライン形式で記録され、送信元IP、ペイロード、具体的なエクスプロイト試行を捕捉します。

主要な詳細

• ゼロ依存関係: コアハニポットは標準ライブラリのみを使用する単一のPythonファイルであり、展開を簡素化し、攻撃面を削減します。
• 2つのペルソナ: 異なるWebインターフェースとAPI動作を持つDanfoss AK-SM 800AおよびCopeland/Dixell XWEB EVOコントローラーのエミュレーションをサポートします。
• エクスプロイト検出: パストラバーサル、コマンドインジェクション、CVE-2025-41450やCVE-2026-25085などの認証バイパスを含む7つの特定のCVEに対する試行を認識し、記録します。
• 現実的なフィンガープリント: サーバーヘッダー、TLS構成、証明書のサブジェクト、オプションのファームウェア資産を複製し、単純なスキャナーフィルターを回避します。
• 安全な封じ込め: 機能を削除し、ユーザー名前空間分離を行った読み取り専用コンテナ内で実行されるため、ハニポットが侵害されてもホストは安全に保たれます。
• Modbusサポート: より広範な産業用スキャン活動を取得するための、偽のレジスタデータを持つオプションのModbus TCPリスナー。

なぜ重要なのか

セキュリティエンジニアやOT専門家にとって、coldframeは重要インフラに対するアクティブな脅威への可視性を提供します。冷蔵コントローラーは単純な家電製品と見なされることが多いため、セキュリティ監査で見落とされがちですが、実際には複雑なWebサーバーとオペレーティングシステムを実行しています。これらのハニポットを展開することで、組織は攻撃者がより機密性の高いシステムへ横方向に移動する前に、IoTデバイスを探してネットワーク境界をプローブしていることを検知できます。

また、このツールは防御策の検証にも役立ちます。野外で試みられているエクスプロイトを確認することで、チームはDanfossユニットの「今日のコード」バイパスなど、特定の脆弱性に対するパッチ適用を優先できます。詳細なログにより、アナリストは小売および食品供給業界特有の攻撃者の戦術、技法、手順（TTPs）を理解できます。この情報は、より良い検出ルールを構築し、類似の攻撃から実デバイスを強化するために不可欠です。

さらに、coldframeの低リソースフットプリントにより、中小企業から大企業まで幅広く利用可能になります。最小限のクラウドインスタンスやローカルのRaspberry Piに展開でき、IoTに焦点を当てた脅威を監視するための手頃な方法を提供します。厳格な入力サニタイズとリソース制限による安全性への重点により、監視ツール自体がリスク要因になることはありません。

できること

• 提供されているcloud-initスクリプトを使用してクラウドプロバイダーにcoldframeインスタンスを展開し、ポート80および443への攻撃監視をすぐに開始します。
• PERSONA環境変数を設定し、自身の環境に存在するコントローラーの種類と一致させることで、より関連性の高い脅威インテリジェンスを得ます。
• events.jsonlログファイルを定期的にレビューするか、含まれているsummary.pyスクリプトを使用して、新しい攻撃パターンと送信元IPを特定します。
• デフォルトパスワードの変更、必要でない場合のModbusなどの未使用サービスの無効化、既知のCVEに対するファームウェアアップデートの適用により、実際のOTデバイスを強化します。
• 捕捉したエクスプロイトペイロードを使用して、Webアプリケーションファイアウォール（WAF）ルールと侵入検知システム（IDS）シグネチャを更新します。
• 誤検知の報告やペルソナの忠実度向上に関する改善提案を通じてプロジェクトに貢献し、進化するスキャナーに対してハニポットの有効性を維持します。