Coldframe honeypot, 2026 saldırılarının hedefi olan süpermarket soğutma kontrolcülerini taklit ediyor

Süpermarket soğutma kontrolcülerini taklit eden yeni bir açık kaynak honeypot olan Coldframe, 7 Kasım 2026'da bir Show HN gönderisiyle Hacker News'in ana sayfasına ulaştı. hedgerow-dev hesabı altında GitHub'da barındırılan proje, bu yıl Avrupa'daki süpermarket soğutma sistemlerine yapılan sızmalara doğrudan bir yanıt olarak sunuluyor; bu saldırılarda saldırganlar varsayılan kimlik bilgilerini ve güncellenmemiş firmware'i kullanarak internete açık soğutma yöneticilerinin kontrolünü ele geçirmiş ve defrost çevrimlerini tetiklemişti. Coldframe aynı saldırganları içeri davet ediyor, ne yaptıklarını kaydediyor ve karşılığında onlara gerçek hiçbir şey vermiyor.

Honeypot ne yapıyor

Projenin readme dosyasına göre araç, standart kütüphane dışında bağımlılığı olmayan tek bir Python dosyasından oluşuyor. İki persona sunuyor. Danfoss persona'sı AK-SM 800A sistem yöneticisini taklit ediyor; StoreView tarzı bir giriş ekranı, soğutmalı tezgahların simüle edilmiş bir panelini ve gerçek ürünün açtığı XML API uç noktalarını HTTP ve HTTPS üzerinden sunuyor. Dixell persona'sı ise bir Copeland/Dixell XWEB EVO yöneticisini taklit ediyor; giriş akışını ve herkese açık exploit'lerin hedeflediği /cgi-bin/ yollarını yeniden üretiyor.

Her iki persona da gerçek cihazlarda bilinen girişleri kabul ediyor. Danfoss tarafında Supervisor/12345 gibi zayıf kimlik bilgileri, doğru hesaplanmış bir CVE-2025-41450 "günün kodu" ile birlikte başarılı oluyor. Dixell tarafında belgelenen fabrika çifti Admin/Admin çalışıyor ve beş dakika içinde beş başarısız giriş, gerçek cihaz davranışını yansıtan bir kilitlemeye yol açıyor. Başarılı saldırganlar bir oturum token'ı ve defrost kontrolleri içeren bir panel alıyor; hiçbir fiziksel süreç etkilenmezken her eylem bir kontrol olayı olarak günlüğe yazılıyor.

Gerçek donanımı taklit etmek

İnternet tarayıcıları cihazları sunucu başlıkları ve favicon hash'leri gibi ayrıntılar üzerinden parmak iziyle tanımlar; Coldframe de gerçek cihazlarda gözlemlenenleri aynen kopyalıyor. Readme'ye göre Danfoss persona'sı nginx sunucu başlığını ve sırasını, StoreView sayfa başlığını, yalnızca TLS 1.2 desteğini ve gerçek donanımın subject ve issuer dizeleriyle eşleşen, her derlemede yeniden üretilen anahtarlarla oluşturulmuş bir yıllık self-signed sertifikayı yeniden üretiyor. Dixell persona'sı ise Server başlığını tamamen atlıyor ve gerçek XWEB cihazlarının başlık setiyle, varlık yollarıyla ve sayfa boyutlarıyla eşleşiyor.

Depoda iki satıcıya ait varlık bilinçli olarak bulunmuyor: favicon ve Danfoss'un Angular yükleyici başlangıç sayfası. Bu dosyaların meşru kopyalarına sahip işletmeciler, yapılandırma değişkenlerini bu dosyalara yönlendirebiliyor; yem de yükleyiciyi bayt bayt, özgün Last-Modified tarihi ve ETag değeriyle korunarak sunuyor. Simüle edilmiş tezgah sıcaklıkları, set noktaları ve bir defrost yazmacı içeren isteğe bağlı Modbus TCP servisi devre dışı olarak geliyor; çünkü gerçek AK-SM cihazları Modbus'u yalnızca kendi tezgah kontrolcülerine karşı konuşuyor. Readme, genel endüstriyel tarayıcıları çekmek için bunun etkinleştirilmesini öneriyor.

Tanıdığı exploit'ler

Bilinen herkese açık exploit'lerle eşleşen istekler günlükte bir exploit alanıyla etiketleniyor. Readme; AK-SM 800A üzerindeki path traversal ve command injection içeren CVE-2023-25914 ile CVE-2023-25915'i, bir nginx başlık üzerine yazma açığı olan CVE-2025-41452'yi, günün kodu ile giriş atlatma açığı CVE-2025-41450'yi (saldırganın doğru kodu türetip türetmediği de dahil), XWEB 500 yükleme ve komut yollarını hedefleyen CVE-2021-45420'yi ve beklenmedik bir auth_mode üzerinden XWEB Pro giriş atlatması olan CVE-2026-25085'i listeliyor.

Dağıtım ve güvenlik

Dağıtım ucuz ve izole olacak şekilde tasarlanmış. Paketle gelen bir cloud-init dosyası yemi bir Ubuntu 24.04 sunucusunda açılıştan yaklaşık iki dakika sonra ayağa kaldırıyor; container salt-okunur bir dosya sistemiyle, tüm yetenekleri bırakılmış halde, kendi kullanıcı ad uzayıyla ve sıkı bellek ile süreç limitleriyle çalışıyor. Readme, rootsuz port yönlendirmenin kaynak adresleri yeniden yaztığı, dolayısıyla tüm saldırganların aynı iç IP'den geliyormuş gibi görüneceği konusunda uyarıyor.

Güvenlik önlemleri arasında saldırgan komutlarını çalıştırmayı, dosya sistemine dokunmayı veya trafiği aktarmayı reddetmek yer alıyor; exploit yükleri günlüğe yazılıp atılıyor. İstek gövdeleri, günlüğe yazılan alanlar ve bağlantılar sınırlanıyor; tek bir saldırgan başkalarının önüne geçemesin diye kaynak başına limitler uygulanıyor; boşta kalan socket'ler zaman aşımına uğruyor ve veriyi damla damla gönderen bağlantılar 30 saniye sonra kesiliyor. Günlükler istekleri, kimlik bilgilerini, kontrol eylemlerini, XML komutlarını, TLS hatalarını ve Modbus trafiğini kapsayan JSON satırlarından oluşuyor ve bir özet betik bunları sıkıştırıp bir rapora dönüştürüyor.

Belirtilen sınırlamalar

Readmi zaafları hakkında açık sözlü: etkileşim yüzeysel, herkese açık kod depoyu okuyan herkes tarafından parmak iziyle tanımlanabilir, bazı yanıt ayrıntıları doğrulanmış cihaz davranışı yerine makul tahminler ve bulutta barındırılan yemler de tarayıcıların gözünde kendileri şüpheli görünebilir.

Neden önemli

2026 kampanyası, süpermarket soğutmasının fabrika parolaları ve yaşlanan firmware ile ele geçirilebildiğini ve sonuçların fiziksel olduğunu gösterdi: bozulan stok ve aksayan mağazalar. Coldframe bu açığı istihbarata dönüştürüyor. Tam da hedef alınan cihazlara karşı kimlik bilgilerini, exploit'leri ve tarama desenlerini kayıt altına alarak savunmacılara hangi tekniklerin dolaşımda olduğunu gösteriyor ve yama öncelikleri ile engelleme listelerini besliyor; bunların tamamı küçük bir sunucu bedeliyle. Kendi içinde güvenlik personeli az olan bir sektör için, bir öğleden sonra dağıtılabilen bir honeypot pratik bir ilk sensör.