Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
Coldframe은 슈퍼마켓 냉장 설비 컨트롤러(Danfoss, Dixell)를 위장한 허니팟입니다. 이 시스템은 공격자가 어떤 비밀번호와 공개 익스플로잇을 사용하는지 기록하여 위협 인텔리전스를 수집합니다. 실제 장치처럼 보이도록 상세한 프로토콜과 헤더 정보를 모방하는 것이 특징입니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 HN OpenAI Codex의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기슈퍼마켓 냉장 설비 컨트롤러를 위한 허니팟입니다.
2026년, 공격자들은 기본 비밀번호와 오래되고 패치되지 않은 펌웨어(firmware)를 사용하여 유럽 전역의 인터넷에 연결된 냉장 감독 시스템(refrigeration supervisors)을 해킹한 후, 강제 제상 사이클(forced defrost cycles)을 실행했습니다. coldframe은 이러한 컨트롤러 중 하나인 척합니다. 이 시스템은 누가 접속하는지, 어떤 비밀번호를 시도하는지, 그리고 어떤 공개 익스플로잇(public exploits)을 사용하는지를 기록하지만, 실제로는 아무것도 제공하지 않습니다.
이것은 표준 라이브러리 외에 의존성이 없는 단일 Python 파일입니다.
| 페르소나 | ~인 척함 | 제공하는 기능/서비스 |
|---|---|---|
danfoss | Danfoss AK-SM 800A 시스템 매니저 | StoreView 로그인, 가짜 스토어 대시보드, /html/xml.cgi 및 /xml.cgi의 XML API, HTTP 및 HTTPS |
dixell | Copeland/Dixell XWEB EVO 슈퍼바이저 | 로그인 페이지와 공개 익스플로잇이 목표하는 XWEB 500 CGI 경로 |
Danfoss 페르소나는 실제 AK-SM 800A 장치가 인터넷 스캐너에 기록되는 내용을 복사합니다: nginx 서버 헤더와 헤더 순서, Danfoss StoreView 페이지 제목, TLS 1.2만 지원, 그리고 CN=DanfossSM800A를 위한 1년 인증서가 SelfSigned-DanfossSM800A 권한에 의해 발급됩니다. 각 빌드는 자체 키를 생성합니다.
약한 로그인(예: Supervisor / 12345)과 정확한 CVE-2025-41450 “오늘의 코드”는 성공합니다. 공격자는 세션 토큰과 제상 버튼이 있는 가짜 냉장 케이스 대시보드를 얻습니다. 그들이 취하는 모든 행동은 control 이벤트로 기록되며, 실제로는 아무것도 없습니다.
Dixell 페르소나는 동일한 방식으로 실제 XWEB EVO 장치를 따릅니다: Server 헤더 없음, 보안 헤더(security-header) 설정 및 순서, 동일한 자산 경로와 페이지 크기. 로그인 과정은 실제 /cgi-bin/login.lua 흐름을 사용합니다: 문서화된 공장 초기 로그인인 Admin / Admin이 성공하며, 5분 동안 5회 실패 시 사용자 계정이 잠기고, XWEB Pro의 auth_mode 우회 시도(CVE-2026-25085)는 태그가 지정됩니다.
두 공급업체의 실제 장치 모두 자체 파비콘(favicon)을 제공하며, 스캐너는 이 해시 값으로 장치를 일치시킵니다. 해당 아이콘은 공급업체의 아트워크이므로 이 저장소에는 포함되어 있지 않습니다. 사설 배포의 경우, 사용 권한이 있는 복사본을 FAVICON_FILE에 지정할 수 있습니다.
Danfoss 시작 페이지도 마찬가지입니다. 실제 장치는 펌웨어에서 짧은 Angular 로더 페이지를 제공하며, 수천 개가 정확히 동일한 해시 값을 공유합니다. INDEX_FILE을 해당 index.html(공개 펌웨어 패키지에서 가져옴)에 지정하면, 미끼(decoy)는 이를 바이트 단위로 서비스하며, Last-Modified 및 ETag에 원래 날짜를 포함합니다. 이후 로더의 main.*.js가 미끼 자체의 로그인 페이지를 표시하는데, 이는 펌웨어의 원격 로그인과 유사하게 배치됩니다. 만약 펌웨어의 assets/images/Danfoss-logo.png가 해당 index.html 옆에 있다면, 페이지는 이를 사용합니다.
두 페르소나 모두 가짜 케이스 온도, 설정값(setpoints), 그리고 제상 레지스터를 갖춘 선택적 Modbus TCP 서비스를 실행할 수도 있습니다. 실제 AK-SM 800A 장치는 자체 케이스 컨트롤러와 통신하기 위해 Modbus만을 사용하므로, 기본적으로 Modbus는 비활성화되어 있습니다. 일반적인 산업용 스캐너를 포착하려면 이를 활성화하십시오.
공개된 익스플로잇과 일치하는 요청은 로그에 exploit 필드를 얻습니다:
get_file을 통한 경로 탐색(path traversal)load_cert을 통한 명령어 주입(command injection)load_nginx_headers를 통한 nginx 헤더 덮어쓰기eds_only 또는 quantum_only를 사용한 getauth), 공격자가 올바른 코드를 계산했는지 여부 기록eds_only / quantum_only 적용/cgi-bin/ 아래 업로드 및 명령어 경로auth_mode를 통한 XWEB Pro 로그인 우회PERSONA=danfoss HTTP_PORT=8080 python3 -I honeypot.py
http://localhost:8080을 열면 모든 요청이 표준 출력(stdout)과 events.jsonl에 JSON 라인으로 표시됩니다.
테스트 실행하기 (테스트가 루프백에서 허니팟을 시작하고 공격합니다):
python3 -I test_honeypot.py
Ubuntu 24.04 서버를 생성하고 cloud-init.yaml 파일을 사용자 데이터(User data) 상자에 붙여넣으세요. XWEB 페르소나를 원한다면 PERSONA=danfoss를 dixell로 변경하세요. 부팅 후 약 2분 뒤에 미끼가 포트 80 (Danfoss의 경우 443)에서 리스닝하며, 아래와 같이 강화(hardened)되어 있습니다.
그런 다음, 제공업체의 방화벽에서 어디서든 미끼의 포트만 허용하고 SSH는 본인의 주소에서만 접근 가능하도록 설정하세요. 다음 명령어로 로그를 확인합니다:
ssh root@<server> 'podman logs coldframe'
컨테이너를 빌드하세요. 빌드를 할 때마다 새로운 자체 서명 인증서(self-signed certificate)가 생성되므로, 두 번 배포해도 인증서를 공유하지 않습니다.
podman build -t coldframe .
rootful podman 또는 Docker를 사용하여 실행하세요. Rootless 포트 포워딩은 소스 주소를 재작성하여 모든 공격자가 동일한 내부 IP처럼 보이게 만듭니다.
--userns=auto는 컨테이너를 사용하지 않는 호스트 UID 범위에 매핑하므로, 컨테이너 사용자조차도 호스트에서는 아무도 아닌(nobody) 상태가 됩니다. Podman은 호스트당 한 번씩 할당할 범위를 필요로 합니다:
echo "containers:2147483647:2147483648" | sudo tee -a /etc/subuid /etc/subgid
sudo podman run -d --name coldframe --restart=always \
--read-only --cap-drop=ALL --security-opt no-new-privileges --userns=auto \
--memory 128m --pids-limit 512 --log-opt max-size=10m \
...
Modbus의 경우, -e MODBUS_PORT=5020 -p 502:5020을 추가하세요.
호스트에서는 페르소나가 실제로 가질 포트만 노출하고, DNS와 패키지 업데이트를 제외한 아웃바운드 트래픽은 차단하세요. 미끼는 외부로 연결할 필요가 없습니다. SSH 접근은 오직 본인의 주소에서만 가능하도록 유지하세요. 전 세계에 SSH가 열린 냉장고 컨트롤러는 이상해 보입니다.
| 변수(Variable) | 기본값(Default) | 의미(Meaning) |
|---|---|---|
PERSONA | danfoss | danfoss 또는 dixell |
| ... |
각 줄은 하나의 이벤트입니다:
{"ts": "2026-11-05T10:57:21.158+00:00", "persona": "danfoss", "proto": "http",
"src_ip": "203.0.113.7", "src_port": 6782, "event": "login_attempt",
"username": "admin", "password": "admin"}
event | When |
|---|---|
request | Any HTTP(S) request, with method, path, Host, User-Agent, Authorization and body |
| ... |
summary.py는 로그를 짧은 보고서로 변환합니다:
python3 -I summary.py --hours 24 --ignore <your-own-ip> < events.jsonl
summary.py는 공격자 입력으로부터 터미널 이스케이프 코드(terminal escape codes)를 무력화합니다.• Danfoss AK-SM 800A 사용자 가이드 (포트 테이블, 로그인 화면, StoreView Web): https://assets.danfoss.com/documents/latest/590332/BC337629891709en-001101.pdf
• Danfoss AK-SM XML 인터페이스 가이드: https://assets.danfoss.com/documents/latest/376199/AU342138209420en-000501.pdf
• Synacktiv, AK-SM 800A 취약점 (CVE-2023-25914, CVE-2023-25915): https://www.synacktiv.com/sites/default/files/2023-10/synacktiv-danfoss-sm800a-multiple-vulnerabilities.pdf
• Synacktiv, SM800 인증 우회 (auth bypass): https://www.synacktiv.com/sites/default/files/2023-10/synacktiv-danfoss-sm800-sc255-sc355-auth-bypass.pdf
• Claroty Team82, Danfoss 컨트롤러 연구 (CVE-2025-41450 ~ 41452): https://blog.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllers
• Exploit-DB 50639, XWEB 500 (CVE-2021-45420): https://www.exploit-db.com/exploits/50639
• Copeland XWEB EVO 작동 매뉴얼 r5.4.1 (기본 로그인, 잠금 기능): https://webapps.copeland.com/Dixell/Content/Pages/Manuals/XWEBEVO/XWEBEVOV5.4.1OPERATION/XWEB-EVO-r5.4.1-OPR-EN.pdf
• CISA ICSA-26-057-10 및 Claroty Team82, XWEB Pro 취약점: https://claroty.com/team82/research/chilling-discoveries-unpacking-vulnerabilities-in-copeland-xweb-pro-controllers
• Ironhackers, CVE-2025-41450 코드 오브 더 데이 분석: https://ironhackers.es/en/danfoss-ak-sm-800a-cve-2025-41450/
• 노출된 장치에 대한 Shodan 기록 (헤더 설정, 제목, 인증서 필드), 2026년 11월
eppser/danfoss-ak-sm-decoy는 SNMP 및 Service Tool 리스너와 더 풍부한 시뮬레이션 스토어를 갖춘 또 다른 AK-SM 디코이(decoy)입니다. coldframe은 실제 장치의 웹 지문(web fingerprints) 일치, 특정 익스플로잇 탐지, 그리고 Dixell XWEB 지원에 중점을 둡니다.
MIT. LICENSE 참조.