- Telegram Web

Про ИБ: канал собирает хаки, уязвимости, и бреши в информационной безопасности

Forwarded from Похек

Делаем LLM-honeypot и ловим на нее криптоджекеров
#LLM #honeypot #blue_team #Cryptojacking #ThreatHunting

Принес вам LLM-honeypot от Beelzebub для ловли криптоджекеров. Это простая SSH-ловушка, которая вместо статичных шаблонов отвечает атакующему правдоподобным текстом, сгенерированным LLM. Благодаря этому поведение сервера выглядит естественно, оператор получает правдоподобные ответы на команды и логи всех фейковых сессий.

Базовая структура ловушки на YALM:

apiVersion: "v1"
protocol: "ssh"
address: ":2222"
description: "SSH LLM Honeypot"
commands:
  - regex: "^(.+)$"
    plugin: "LLMHoneypot"
serverVersion: "OpenSSH"
serverName: "ubuntu"
passwordRegex: "^(root|qwerty|Smoker666|123456|jenkins|minecraft|sinus|alex|postgres|Ly123456)$"
deadlineTimeoutSeconds: 120
plugin:
    llmProvider: "openai"
    llmModel: "gpt-4o"
    openAISecretKey: "sk-proj-1234567890"

Особенности конфигурации:

SSH-протокол (один из самых частых векторов атак) + нестандартный порт 2222 (снижает шум от сканеров).
regex: "^(.+)$" — перехватывает любую введенную команду/строку и отправляет в LLM-плагин.
serverVersion/serverName — эмуляция баннера/имени хоста, которые увидит криптоджекер при подключении.
passwordRegex — заранее прописанные намеренно слабые пары usernames/passwords.
deadlineTimeoutSeconds — при простое более 120 секунд сессия разрывается.
параметры plugin — интеграция с LLM OpenAI, в частности — gpt-4o + ключ для подключения.

plugin можно расписать подробнее. Например, добавить температуру ответов temperature и обеспечить контекстный диалог (историю команд) через contextMemory для улучшенной генерации. Функциональность на ваше усмотрение.

С этой ловушкой Beelzebub тщательно записали ход сессии криптоджекера: разведка хоста (uname, uptime, nproc), проверка GPU (lspci, nvidia-smi), сбор данных о CPU/сети, попытки обеспечить персистентность и убрать конкурентов (chpasswd, pkill xmrig|cnrig|kswapd0 и т.п.), скачивание и запуск установочного скрипта через curl … | bash. В описываемом примере скрипт настраивал xmrig для майнинга Monero и подключался к пулу C3Pool.

🔗

Источник

🌚

@poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч

Please open Telegram to view this post