این یک تلهٔ سادهٔ SSH است که به جای پاسخ های ایستا با قالب های ثابت، به مهاجم با متنی واقعی نما پاسخ می دهد که توسط یک LLM تولید میشود. بدین ترتیب رفتار سرور طبیعی به نظر میرسد، اپراتور پاسخ های قابل باور به دستورات را میگیرد و لاگ تمام نشست های جعلی ذخیره می شود.
ساختار پایهٔ تله (YAML):
apiVersion: "v1"
protocol: "ssh"
address: ":2222"
description: "SSH LLM Honeypot"
commands:
- regex: "^(.+)$"
plugin: "LLMHoneypot"
serverVersion: "OpenSSH"
serverName: "ubuntu"
passwordRegex: "^(root|qwerty|Smoker666|123456|jenkins|minecraft|sinus|alex|postgres|Ly123456)$"
deadlineTimeoutSeconds: 120
plugin:
llmProvider: "openai"
llmModel: "gpt-4o"
openAISecretKey: "sk-proj-1234567890""``
ویژگی های پیکربندی:
◾️ پروتکل SSH (یکی از رایج ترین بردارهای حمله) + پورت غیرمرسوم 2222 (برای کاهش نویز اسکنرها).
regex: "^(.+)$"
◾️ هر دستور/رشتهٔ وارد شده را میگیرد و به پلاگین LLM می فرستد.
serverVersion / serverName
بنر/نام میزبان را شبیه سازی می کنند تا کریپتوجکر هنگام اتصال آن را ببیند.
passwordRegex
چند ترکیب نام کاربری/رمز عمداً ضعیف پیش تعریف شده.
deadlineTimeoutSeconds
اگر نشست بیش از 120 ثانیه بیکار بماند، قطع می شود.
◾️پارامترهای plugin ادغام با LLM شرکت OpenAI، در این مثال مدل gpt-4o و کلید دسترسی.
می توانید بخش plugin را دقیق تر بنویسید؛ مثلاً مقدار temperature برای تنوع/خلاقیت پاسخ ها اضافه کنید و با contextMemory تاریخچهٔ دستورات را نگهداری کنید تا تولید متن بهتر شود. پیاده سازی و قابلیت ها بسته به نیاز شماست.
در این تله، Beelzebub با دقت مسیر نشست کریپتوجکر را ثبت کرده: شناسایی میزبان (uname, uptime, nproc)، بررسی GPU (lspci, nvidia-smi)، جمع آوری اطلاعات CPU/شبکه، تلاش برای ایجاد persistence و حذف رقبا (دستورات مانند chpasswd، pkill xmrig|cnrig|kswapd0 و غیره)، دانلود و اجرای اسکریپت نصب با curl … | bash. در مثال شرحدادهشده، اسکریپت xmrig را برای ماینینگ Monero تنظیم میکرد و به C3Pool متصل می شد.
@TryHackBox
@TryHackBoxOfficial
@RadioZeroPod
@TryHackBoxStory
#هوش_مصنوعی #امنیت_سایبری