Coldframe: Supermarket Refrigerator Kontrollerini Taqlid Qiluvchi Honeypot

Hedgerow-dev dasturchilari tomonidan yaratilgan Coldframe — bu supermarket sovutgichlari uchun nazorat tizimlarini taqlid qiluvchi honeypot. Bu dastur, Danfoss AK-SM 800A va Dixell XWEB interfeyslarini takrorlaydi. Coldframe, so'nggi haftalarda sodir bo'lgan industrial sovutgichlar o'rnatishlari bilan ilhomlangan holda yaratilgan.

Nima uchun Coldframe?

Coldframe, supermarketlar uchun sovutgichlar nazorat tizimlarini taqlid qiluvchi honeypot. Bu dastur, Danfoss AK-SM 800A va Dixell XWEB interfeyslarini takrorlaydi. Bu interfeyslar Shodan tomonidan real qurilmalar sifatida tan olinadi. Coldframe faqat standart Python kutubxonasidan foydalanadi va eppser/danfoss-ak-sm-decoy loyihasiga, shuningdek Synacktiv, Claroty va Ironhackers tomonidan amalga oshirilgan tadqiqotlarga asoslanadi.

PERSONA=danfoss HTTP_PORT=8080 python3 -I honeypot.py

python3 -I test_honeypot.py

Qanday ishlaydi?

Coldframe, real qurilmalarni takrorlash uchun Shodan yozuvlaridan foydalanadi. Bu, header tartibini, sahifa sarlavhalarini, sertifikat maydonlarini va TLS versiyalarini moslashtiradi. Danfoss interfeysi, nginx headerlarini real AK-SM 800A qurilmalari bilan bir xil tartibda yuboradi. Dixell interfeysi esa Server headerini yubormaydi va sahifani 8,202 baytga to'ldiradi.

ssh root@<server> 'podman logs coldframe'

Coldframe, CVE-2025-41450, Danfoss “kuni kodini” login o'tkazib yuborishni tanib oladi va kiritilgan kodning bugungi kuni to'g'riligini yozib oladi. Bundan tashqari, u uchta boshqa Danfoss CVE va XWEB zaifliklariga qaratilgan urinishlarni belgilaydi.

podman build -t coldframe .

Foydalanuvchi interfeysi

Coldframe, standart loginlar orqali foydalanuvchilarni kirishga imkon beradi. Bu, foydalanuvchilarni birinchi harakatdan tashqari, ikkinchi harakatni ham ko'rish imkonini beradi. Bu, dastur ichidagi hech narsa real emas.

echo "containers:2147483647:2147483648" | sudo tee -a /etc/subuid /etc/subgid

Natijalar

Coldframe ning ikkita nusxasi bir kun davomida faoliyat yuritgan. Hali shu vaqtgacha, ular faqat umumiy skanerlar va Shodan crawleri tomonidan ko'rilgan. Shodan crawleri refrigerator.census.shodan.io nomini olgan.

sudo podman run -d --name coldframe --restart=always \
  --read-only --cap-drop=ALL --security-opt no-new-privileges --userns=auto \
  --memory 128m --pids-limit 512 --log-opt max-size=10m \
  -p 80:8080 -p 443:8443 \
  -v coldframe-logs:/logs:U \
  -e PERSONA=danfoss \
  coldframe

Foydalanuvchilarning fikr-mulohazalari, xususan, bu qurilmalarni maydonlarda ko'rganlar uchun qabul qilinadi.

{"ts": "2026-11-05T10:57:21.158+00:00", "persona": "danfoss", "proto": "http",
 "src_ip": "203.0.113.7", "src_port": 6782, "event": "login_attempt",
 "username": "admin", "password": "admin"}

Batafsil ma'lumot uchun Coldframe GitHub sahifasiga o'ting.

python3 -I summary.py --hours 24 --ignore <your-own-ip> < events.jsonl

Asl manba: github.com