magnet

Magnet シグナルを捉え、脅威を検知せよ。 概要 Magnet は Purpleチーム向けのテレメトリ＆シミュレーションツールキットです。 目的: モジュール式で、クロスプラットフォーム（最終的には）なテレメトリおよび悪意のあるアクティビティの生成器。 なぜこの名前か？ SOCアナリストや検知ルールを引き寄せるからです！ 😜 副次的な使用例として、Magnet はレッドチーム活動中にデコイとして使用し、誤検出ノイズを発生させて防御側をかく乱することもできます 😈 アーキテクチャ的には、Magnet...

PhantomFS

偽のファイル。本当のセキュリティ。 Windows向け仮想ハニーポットファイルシステム — 攻撃者を本物に見えるディレクトリにおびき寄せ、現行犯で捕まえます。 PhantomFSとは？ PhantomFSはWindows Projected File System ProjFSを利用して、記憶域にのみ存在する説得力のあるおとりファイル（財務報告書、SSHキー、API認証情報、人事スプレッドシート、NDAなど）で満たされた仮想ディレクトリを表面化します。攻撃者（または内部脅威）がファイルを開くまで、データがディスクに書き込まれることはありません。...

Salat-Stealer-Telegram-Proxy-Decoy-C2-Analysis

1. Telegramプロキシのデコイ – 偽装と回避 実行されると、Salat Stealerは完全に機能するTelegram Proxy インターフェースを表示します。このデコイは、ユーザーを正当なプロキシアプリケーションを実行していると思わせるためのカモフラージュとして機能し、その間マルウェアはバックグラウンドで悪意のある操作を実行します。 主な観察結果: インターフェース: ウィンドウは正当なTelegramプロキシクライアント（proxy.telegram.org）を模倣しています。 ポート: 通常のトラフィックに紛れるためにポート443（標準HTTPSポート）を使用します。...

trappsec

trappsec trappsecは、APIのビジネスロジックを探る攻撃者を開発者が検出するのに役立つオープンソースフレームワークです。実際のAPI構造と区別が難しいリアルなデコイルートとハニーフィールドを埋め込むことで、攻撃者に認証を促し、偵察を実用的なセキュリティテレメトリに変換します。 実際にセキュリティアラートを確認する1%の人々と、アラートがあるというアイデアだけを好む99%の人々のために作られました。 ドキュメントを読む • 超クイックスタート コアコンセプト デコイルート:...

cyber-decoy

cyber-decoy コンテナ化されたネットワークデコイ（ハニーポット）で、SSH 、RDP 、SMB をアドバタイズし、eBPF で全ての受信接続を観測し、各セッションを隔離されたデコイコンテナにリバースプロキシします。 設計では2つの関心事を分離しています: 1. 観測. ブローカーのインターフェースにアタッチされた eBPF TC クラシファイアが、デコイが提供していないポートへのスキャンも含め、全ての受信 TCP SYN を記録します。これによりプロービングアクティビティを完全に可視化できます。 2. 対話...

InfraGuard

レッドチームインフラストラクチャトラッカー兼C2リダイレクタ -- RedWarden の現代的代替ツールです。 InfraGuard はインターネットとお使いの C2 チームサーバーの間に位置し、すべてのインバウンドリクエストを malleable C2 プロファイルに対して検証し、適合しないものをすべてブロックします。スキャナ、ボット、ブルーチームのプローブはデコイサイトにリダイレクトされ、正当なビーコントラフィックのみがチームサーバーへ通過します。 アーキテクチャ 機能 プロキシとリスナー マルチドメインプロキシ -- 複数のドメインを同時にプロキシし、各ドメインに独立した C2...

rtf_exploit_extractor

rtfexploitextractor CVE-2015-1641 のエクスプロイト文書から悪意のあるペイロードとデコイ文書を抽出するスクリプト root@kitploit: usage: rtfexploitextract.py -h -o OUTFILE -d DECOY -l LENGTH -v inputfile inputfile 検査対象のエクスプロイト文書 optional arguments: -h, --help このヘルプメッセージを表示して終了 -o OUTFILE, --outfile OUTFILE 抽出したペイロードの出力ファイル名 -d DECOY,...

beelzebub

Beelzebub デセプションランタイムフレームワーク Beelzebub は、SSH、HTTP、TCP、TELNET、MCP プロトコルにわたって、適応型で LLM を活用したデコイサービスを展開するオープンソースのデセプションランタイムです。受動的なハニーポットを超え、攻撃者と現実的な対話を積極的に行い、高精度な脅威インテリジェンスを収集し、AI エージェントに対するプロンプトインジェクション攻撃を検出します。 目次 Beelzebub 目次 主な機能 LLM デセプションデモ クイックスタート インストーラー ローカル Go Docker Helm Kubernetes の使用...

AzureC2Relay

AzureC2Relay AzureC2Relayは、Cobalt StrikeマルチブルC2プロファイルに基づいて受信リクエストを検証し、Cobalt Strikeビーコントラフィックを中継するAzure Functionです。プロファイルのユーザーエージェント、URIパス、ヘッダー、クエリパラメータを共有しない受信リクエストは、設定可能なデコイWebサイトにリダイレクトされます。検証されたC2トラフィックは、同一仮想ネットワーク内のチームサーバーに中継され、さらにネットワークセキュリティグループによって制限されます。これにより、VMはSSHのみを公開するようになります。 デプロイ...

Dejavu

DejaVU - 开源欺骗平台 DejaVu（Camolabs.io 的一部分）是一个欺骗平台，可用于在云环境（目前我们支持 AWS）和内部网络中部署诱饵。 这是我们在 Blackhat Europe 的演讲视频，展示了如何利用欺骗手段检测攻击生命周期各个阶段中常见的对手战术和技术。 在内部网络中部署 DejaVu 如果你希望在内部网络中部署 DejaVu，可以从 Camolabs.io 下载该平台。请参考以下指南开始使用。 在 Virtual Box 上设置：视频指南 在 VMware ESXi 上设置（PDF 指南）：控制台 和 引擎...

CVE-2025-8088

CVE-2025-8088 PoC 教育目的のみ このCVEの詳細は次のURLで確認できます: https://nvd.nist.gov/vuln/detail/CVE-2025-8088 ⚠️ 警告: このリポジトリには、CVE-2025-8088の概念実証（PoC）が含まれています。 これは教育目的、研究、およびラボ環境のみ を対象としています。 所有していない、またはテストする明示的な許可を得ていないシステムでは、このコードを使用しないでください 。 概要 このプロジェクトは、Alternate Data...

jit

jitpass - just-in-time passwords Just-in-time credentials for your dev machine. Documentation · Quickstart · Supported tools · Command reference · Security Status: macOS-only Apple Silicon, and still in development. What jit is 30 seconds Your secrets live in plaintext all over your machine: .env...

Honeypot-for-CVE-2025-59287-WSUS

wsus-decoy Proof of concept difensivo per CVE-2025-59287 WSUS. Il decoy emula gli endpoint web WSUS sulle porte 8530 e 8531, cattura l'intero corpo delle richieste HTTP e le intestazioni, salva le prove per l'analisi forense e include un harness di test Windows per validare la telemetria di...

Malicious code in core-tailwindcss-utility (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 67bbda0dc4bcf5478f2edd6a243b1f289f2b0471f950b4362f21b5a6344cdd83 Package is advertised as a Tailwind CSS utility but ships no CSS utilities. index.js exports getPlugin which fetches JSON from the hardcoded bare-IP...

Malicious code in dolyame-boxy-desktop-bnpl-header (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 626b386d1f127bc0ed973dbac051023f0f021b0be476d1cd8678802ef98c5d42 On require of the package, index.js unconditionally loads bootstrap.js, which downloads a platform-specific binary from hostnames assembled via...

Malicious code in cobrowsing-logger (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 8d5fcbe415de738c1434d79c5b40d1afb7ea916b5ed4b7103b29e244e27169ea index.js unconditionally requires adapter.js on load. adapter.js reconstructs destination hostnames from string-split fragments assembling...

MAL-2026-12687 Malicious code in delivery-ci-upgrade-from (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 46b1b760480eca3b3ad596491193f7aa55ed0a3e982d6978c071e04e793ff8b0 index.js unconditionally requires bridge.js, which runs a bootstrap routine on module load. The bootstrap selects a platform-specific path linuxx64,...

MAL-2026-12698 Malicious code in devplatform-auth-client (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 3b5d92af4e479fded008aa25786634ef3869a37c3624f612a320d308808a0626 Requiring devplatform-auth-client loads bootstrap.js, which selects a platform-specific payload URL, downloads opaque bytes over HTTPS from hardcoded...

Malicious code in devplatform-auth-client (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 3b5d92af4e479fded008aa25786634ef3869a37c3624f612a320d308808a0626 Requiring devplatform-auth-client loads bootstrap.js, which selects a platform-specific payload URL, downloads opaque bytes over HTTPS from hardcoded...

Malicious code in devplatform-s3-client (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector 618b016d2ee8f333f47ee78c4ffe29b703a08ab7fca524ee072944394fb1301c On require of the package's main entry, bridge.js assembles Cloudflare Workers hostnames from string fragments via Array.join e.g...