Coldframe: スーパーマーケット冷凍冷蔵庫制御システム向けハニーポット

2026 年、ヨーロッパ各地の冷蔵監視システムへの侵入事件（デフォルトパスワード未変更やファームウェア脆弱性の利用など）を踏まえ、攻撃者の視線に立ちつつ何の実行も発生させない防御用のハニーポット「Coldframe」です。

概要と特徴

• 独自性: 実際の制御システム（Danfoss, Dixell）の挙動を偽装し、攻撃者に「実在するターゲット」と見せかけます。
• 安全性:
  • コマンドの実行やファイルの読み書きは一切行われません。
  • 単一 Python ファイルのみで構成され、外部依存ライブラリを持ちません。
  • エクスプロイトペイロードは記録直後に破棄されます。
• 機能: 解凍サイクル強制的実行などの攻撃をログに記録し、攻撃者の行動（利用した CVE やパスワード試行など）を特定します。

パーソナリティ設定（Personas）

ハニーポットが偽装する実際の装置の型を指定できます。

get_file

load_cert

/html/xml.cgi

/xml.cgi

CN=DanfossSM800A

Auth Mode

実在する装置との完全な整合性

• Modbus TCP: デフォルトはオフですが、オンにすると汎用産業用スキャナの検出が可能です。
• ファビコン (アイコン): ベンダー独自のロゴやアイコン（ハッシュ値ベース）を配信します。
• スタートページ: 数千台の装置が共有する同じ Angular ローダーとハッシュ値を正確に再現し、

  Last-Modified

  や

  ETag

  を含みます。

認識されるエクスプロイト (Recognized Exploits)

脆弱性利用試行や特定のパターンに対するログフィールド（

exploit

• AK-SM 800A:

  • CVE-2023-25914

    : パストラバーサル (

    get_file

    )

  • CVE-2023-25915

    : コマンドインジェクション (

    load_cert

    )

  • CVE-2025-41452

    : Nginx ヘッダー書き換え (

    load_nginx_headers

    )

  • CVE-2025-41450

    : 「今日のコード」による認証バイパス (ログイン成功フラグ付き)
  • SM800 コードバイパス: 特定のコマンドにおける権限上昇試行
• XWEB 500/Pro:

  • CVE-2021-45420

    :

    /cgi-bin/

    下でのアップロード・コマンド経路利用

  • CVE-2026-25085

    : XWEB Pro における予期しない

    auth_mode

    バイパス

クイックスタート

単一 Python スクリプトで即座に起動します。

# Danfoss ペルソナでの動作例 (ポート 8080)
PERSONA=danfoss HTTP_PORT=8080 python3 -I honeypot.py

• 結果:

  http://localhost:8080

  にアクセスすると、すべてのリクエストが標準出力および

  events.jsonl

  に JSON 形式で記録されます。
• テスト実行: ハニーポットをループバック上で起動し自攻撃することも可能です。

  python3 -I test_honeypot.py
  

デプロイメント方法

1. 「ユーザーデータ」への貼り付け（最も簡単）

Ubuntu 24.04 サーバー（例：DigitalOcean ドロップレット $4）に設定を適用します。

1. サーバーを用意する。

2. cloud-init.yaml

   をユーザーデータのボックスに貼り付けます。
   • ペルソナ変更:

     PERSONA=danfoss

     →

     dixell

3. システム起動から約2 分後に以下のポートで待ち受けを開始します：
   • Danfoss: ポート 80, 443
   • Dixell: ポート 80 (HTTPS はオフ)

2. コンテナ方式での手動デプロイメント

Podman または Docker を使用し、独自ユーザーネームスペースで非 root ユーザーとして動作します。

# コンテナビルド（各ビルドで新しい自己署名証明書が生成されます）
podman build -t coldframe .

# 実行コマンド
sudo podman run -d --name coldframe --restart=always \
  --read-only --cap-drop=ALL --security-opt no-new-privileges --userns=auto \
  --memory 128m --pids-limit 512 --log-opt max-size=10m \
  -p 80:8080 -p 443:8443 \
  -v coldframe-logs:/logs:U \
  -e PERSONA=danfoss \
  coldframe

# Modbus を使用する場合は追加
# -e MODBUS_PORT=5020 -p 502:5020

セキュリティ強化設定:

• アウトバウンド接続遮断: デコイは外部接続不要のため、DNS・パッケージ更新を除くトラフィックをブロックしてください。
• SSH リストニング: 自身の IP のみアクセス許可し、世界中から公開されていない冷蔵庫コントローラーであることを確認します。

設定オプション

環境変数による動作制御が可能です。

danfoss

dixell

CERT_FILE

KEY_FILE

ログの確認と分析

ログの各行は独立したイベントを表します。JSON フォーマットで出力されます。

{
  "ts": "2026-11-05T10:57:21.158+00:00",
  "persona": "danfoss",
  "proto": "http",
  "src_ip": "203.0.113.7",
  "src_port": 6782,
  "event": "login_attempt",
  "username": "admin",
  "password": "admin"
}

イベント種類一覧:

• request: 全 HTTP(S) リクエストの詳細（メソッド、パス、User-Agent など）
• login_attempt: ログイン試行情報（認証成功フラグ付き）
• control: ダッシュボードからの操作（解凍開始など）
• xml_cmd: Danfoss XML API コマンド（エクスプロイト利用ありの場合の属性）
• tls_error: TLS ハンドシェイク失敗（例：スキャナが HTTPS に対して HTTP を送った場合）
• connect/read/write/device_id/etc.: Modbus アクティビティ（解凍レジスタ書き込み時

  defrost: true

  ）

サマリーレポート作成: 攻撃者の IP を除外して、24 時間分の簡易レポートを生成します。

python3 -I summary.py --hours 24 --ignore <your-own-ip> events.jsonl

セーフティ（安全性の担保）

ハニーポットとしての安全性は以下の仕組みで保障されています：

• 実行禁止: コマンド実行、ファイル書き込み、リクエスト転送は一切行われません。
• レート制限: ソース IP あたりの上限を設けており、単一攻撃者が他の攻撃者を排除することはできません。
• 自動回転: 無活動なソケットはタイムアウトし、イベントログが肥大化すると自動で回転します。
• 接続切断: データ送信による接続維持試みは 30 秒後に強制終了され、拒否接続はログされます。
• 入力制御: 非常に長いログ行は切り詰められ、ターミナルエスケープシーケンスが無効化されます。
• 最小権限: コンテナは独自ユーザーネームスペース内で非 root ユーザーとして起動し、読み取り専用ファイルシステム上に動作します。
  • 注意: ログフィールドは攻撃者が制御する可能性があります。閲覧・処理時は信頼しないと仮定してください。

制限事項

• 浅い相互作用: ログインしてもダッシュボードの一部や数個の XML コマンドのみ表示され、StoreView アプリ全体へのアクセスはありません。
• フィンガープリンティングリスク: リポジトリが公開されているため、誰でも正確な応答パターンを特定可能です。デプロイメントに合わせてペルソナ名や証明書サブジェクトなどをカスタマイズしてください。
• 未確認の詳細: 静的パスや一部の XML レスポンス形状について情報が不足している場合、適宜妥当な値で補填されます。
• クラウド IP の疑念: いくつかのスキャナは、クラウドホスティング上のハニーポットであると誤認し、フラグを立てることがあります。

参照元資料

以下の技術報告書やマニュアルに基づいています。

1. Danfoss AK-SM 800A ユーザーガイド: https://assets.danfoss.com/documents/latest/590332/BC337629891709en-001101.pdf
2. Danfoss AK-SM XML インターフェースガイド: https://assets.danfoss.com/documents/latest/376199/AU342138209420en-000501.pdf
3. Synacktiv: Danfoss AK-SM 800A 脆弱性報告 (CVE-2023-25914/25915): https://www.synacktiv.com/sites/default/files/2023-10/synacktiv-danfoss-sm800a-multiple-vulnerabilities.pdf
4. Synackтив: SM800 認証バイパス報告: https://www.synacktiv.com/sites/default/files/2023-10/synacktiv-danfoss-sm800-sc255-sc355-auth-bypass.pdf
5. Claroty Team82: Danfoss コントローラー調査 (CVE-2025-41450〜41452): https://blog.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
6. Exploit-DB 50639: XWEB 500 (CVE-2021-45420): https://www.exploit-db.com/exploits/50639
7. Copeland: XWEB EBO オペレーションマニュアル (r5.4.1): https://webapps.copeland.com/Dixell/Content/Pages/Manuals/XWEBEVO/XWEBEVOV5.4.1OPERATION/XWEB-EVO-r5.4.1-OPR-EN.pdf
8. Claroty Team82: Copeland XWEB Pro 脆弱性調査: https://claroty.com/team82/research/chilling-discoveries-unpacking-vulnerabilities-in-copeland-xweb-pro-controllers
9. Ironhackers: CVE-2025-41450 「今日のコード」解析: https://ironhackers.es/en/danfoss-ak-sm-800a-cve-2025-41450/
10. Shodan レコード: 露出された装置のヘッダー設定・証明書情報 (2026 年 11 月)

関連作業とライセンス

• 関連プロジェクト:

  eppser/danfoss-ak-sm-decoy

  は別の AK-SM デコイで、SNMP や Service Tool リスナー、より豊富なストアシミュレーションを備えています。「Coldframe」は Web フィンガープリントの一致性と特定 CVE の検出に特化しています。
• ライセンス: MIT ライセンス（LICENSE ファイル参照）。