Coldframe: Honeypot nhẹ cho bộ điều khiển tủ lạnh siêu thị

Vào cuối năm 2026, một làn sóng tấn công nhắm vào các bộ giám sát làm lạnh kết nối internet trên khắp châu Âu, khai thác thông tin đăng nhập mặc định và firmware chưa được vá lỗi để kích hoạt chu kỳ xả đá. Để đối phó, dự án mã nguồn mở coldframe đã được ra mắt như một honeypot chuyên dụng được thiết kế để mô phỏng các thiết bị công nghiệp dễ bị tổn thương này. Nó cho phép các đội bảo mật quan sát hành vi của kẻ tấn công mà không gây rủi ro cho cơ sở hạ tầng thực tế.

Chuyện gì đã xảy ra

Các kẻ tấn công đã xác định hàng nghìn bộ điều khiển làm lạnh bị lộ, cụ thể là dòng Danfoss AK-SM 800A và Copeland/Dixell XWEB 500. Bằng cách khai thác các lỗ hổng đã biết và mật khẩu nhà máy yếu, chúng đã truy cập được vào các hệ thống công nghệ vận hành (OT). Sau khi xâm nhập, chúng thao túng các bộ kiểm soát môi trường, kích hoạt các chu kỳ xả đá không cần thiết có thể làm hỏng hàng tồn kho và gián đoạn chuỗi cung ứng.

coldframe giải quyết mối đe dọa này bằng cách cung cấp một mồi nhử trông giống và hoạt động giống với các bộ điều khiển cụ thể đó. Nó được xây dựng dưới dạng một tệp Python duy nhất không có phụ thuộc bên ngoài, giúp việc triển khai và kiểm toán trở nên dễ dàng. Công cụ này ghi lại mọi nỗ lực kết nối, đoán mật khẩu và payload khai thác, nhưng không gửi bất kỳ dữ liệu thực nào trở lại cho kẻ tấn công. Cách tiếp cận này biến một lỗ hổng thành cơ hội thu thập thông tin tình báo.

Dự án hỗ trợ hai hồ sơ nhân vật (persona) riêng biệt. Hồ sơ danfoss mô phỏng trình quản lý hệ thống AK-SM 800A, phục vụ trang đăng nhập StoreView giả và bảng điều khiển. Hồ sơ dixell bắt chước bộ giám sát XWEB EVO, sao chép các đường dẫn CGI và luồng đăng nhập đặc thù của nó. Cả hai hồ sơ đều được thiết kế để vượt qua các bước kiểm tra dấu vết ban đầu được sử dụng bởi cả các trình quét tự động lẫn kẻ tấn công là con người.

Cách thức hoạt động

coldframe đạt được độ chân thực bằng cách sao chép cẩn thận các dấu vết mạng của thiết bị thực. Đối với hồ sơ Danfoss, nó sao chép thứ tự tiêu đề máy chủ nginx, giới hạn TLS ở phiên bản 1.2 và sử dụng chứng chỉ tự ký với tên chung chính xác CN=DanfossSM800A. Nếu được cấu hình, nó thậm chí còn phục vụ một bản sao từng byte của trang loader Angular tìm thấy trong các gói firmware công khai. Điều này đảm bảo rằng các trình quét khớp hash thiết bị sẽ thấy những gì chúng mong đợi.

Honeypot tương tác với kẻ tấn công bằng cách chấp nhận các thông tin đăng nhập yếu đã biết, chẳng hạn như Supervisor / 12345, hoặc bỏ qua xác thực bằng cách sử dụng các exploit đã được tài liệu hóa như CVE-2025-41450. Khi kẻ tấn công đăng nhập, họ sẽ được hiển thị một bảng điều khiển tĩnh với các ngăn chứa lạnh giả và nút xả đá. Bất kỳ hành động nào được thực hiện, chẳng hạn như nhấp vào nút xả đá, đều được ghi lại dưới dạng sự kiện control nhưng không ảnh hưởng đến phần cứng vật lý nào. Hồ sơ Dixell cũng chấp nhận đăng nhập mặc định từ nhà máy Admin / Admin và áp dụng khóa tài khoản sau năm lần thử thất bại, giống hệt như thiết bị thật.

Tùy chọn, coldframe có thể chạy dịch vụ Modbus TCP để thu hút các trình quét công nghiệp chung. Dịch vụ này cung cấp các số đo nhiệt độ và điểm đặt giả. Tuy nhiên, vì các đơn vị AK-SM 800A thực thường chỉ sử dụng Modbus cho giao tiếp nội bộ, tính năng này bị tắt theo mặc định để duy trì hồ sơ thực tế. Tất cả các tương tác đều được ghi lại dưới định dạng JSON line, nắm bắt IP nguồn, payload và các nỗ lực khai thác cụ thể.

Chi tiết chính

• Không có phụ thuộc: Honeypot cốt lõi là một tệp Python duy nhất chỉ sử dụng thư viện chuẩn, đơn giản hóa việc triển khai và giảm bề mặt tấn công.
• Hai hồ sơ nhân vật: Hỗ trợ mô phỏng các bộ điều khiển Danfoss AK-SM 800A và Copeland/Dixell XWEB EVO với các giao diện web và hành vi API riêng biệt.
• Phát hiện khai thác: Nhận diện và ghi lại các nỗ lực khai thác bảy CVE cụ thể, bao gồm traversal đường dẫn, injection lệnh và bypass xác thực như CVE-2025-41450 và CVE-2026-25085.
• Dấu vết chân thực: Sao chép tiêu đề máy chủ, cấu hình TLS, chủ thể chứng chỉ và tài nguyên firmware tùy chọn để tránh các bộ lọc quét đơn giản.
• Bao bọc an toàn: Chạy trong container chỉ đọc với các khả năng bị loại bỏ và cô lập namespace người dùng, đảm bảo rằng ngay cả khi honeypot bị xâm phạm, máy chủ vẫn an toàn.
• Hỗ trợ Modbus: Trình nghe Modbus TCP tùy chọn với dữ liệu thanh ghi giả để thu thập hoạt động quét công nghiệp rộng hơn.

Tại sao điều này quan trọng

Đối với các kỹ sư bảo mật và chuyên gia OT, coldframe cung cấp khả năng hiển thị vào các mối đe dọa đang hoạt động chống lại cơ sở hạ tầng trọng yếu. Các bộ điều khiển làm lạnh thường bị bỏ qua trong các cuộc kiểm toán bảo mật vì chúng được coi là các thiết bị đơn giản, nhưng thực tế chúng chạy các máy chủ web và hệ điều hành phức tạp. Bằng cách triển khai các honeypot này, các tổ chức có thể phát hiện khi nào kẻ tấn công đang thăm dò ranh giới mạng của họ để tìm các thiết bị IoT trước khi chúng di chuyển ngang sang các hệ thống nhạy cảm hơn.

Công cụ này cũng giúp xác minh các biện pháp phòng thủ. Bằng cách xem những exploit nào đang được thử nghiệm trong thực tế, các nhóm có thể ưu tiên vá lỗi cho các lỗ hổng cụ thể như bypass "code of the day" trong các đơn vị Danfoss. Nhật ký chi tiết cho phép các nhà phân tích hiểu rõ chiến thuật, kỹ thuật và quy trình (TTPs) của kẻ tấn công đặc thù cho lĩnh vực bán lẻ và chuỗi cung ứng thực phẩm. Thông tin tình báo này rất quan trọng để xây dựng các quy tắc phát hiện tốt hơn và củng cố các thiết bị thực trước các cuộc tấn công tương tự.

Hơn nữa, dấu chân tài nguyên thấp của coldframe khiến nó dễ tiếp cận đối với cả doanh nghiệp nhỏ và lớn. Nó có thể được triển khai trên một instance đám mây tối thiểu hoặc một Raspberry Pi cục bộ, cung cấp một cách thức giá cả phải chăng để giám sát các mối đe dọa tập trung vào IoT. Sự nhấn mạnh vào an toàn, với việc khử trùng input nghiêm ngặt và giới hạn tài nguyên, đảm bảo rằng công cụ giám sát bản thân nó không trở thành một gánh nặng.

Những gì bạn có thể làm

• Triển khai một instance coldframe trên nhà cung cấp đám mây bằng cách sử dụng script cloud-init được cung cấp để nhanh chóng bắt đầu giám sát các cuộc tấn công trên cổng 80 và 443.
• Cấu hình biến môi trường PERSONA để khớp với các loại bộ điều khiển cụ thể có trong môi trường của bạn nhằm thu thập thông tin tình báo về mối đe dọa liên quan hơn.
• Thường xuyên xem xét tệp nhật ký events.jsonl hoặc sử dụng script summary.py đi kèm để xác định các mẫu tấn công mới và IP nguồn.
• Củng cố các thiết bị OT thực của bạn bằng cách thay đổi mật khẩu mặc định, vô hiệu hóa các dịch vụ không sử dụng như Modbus nếu không cần thiết, và áp dụng các bản cập nhật firmware cho các CVE đã biết.
• Sử dụng các payload khai thác được thu thập để cập nhật các quy tắc tường lửa ứng dụng web (WAF) và chữ ký hệ thống phát hiện xâm nhập (IDS).
• Đóng góp cho dự án bằng cách báo cáo các dương tính giả hoặc đề xuất cải tiến độ trung thực của hồ sơ nhân vật, giúp giữ cho honeypot hiệu quả trước các trình quét đang phát triển.