Coldframe: honeypot giả lập bộ điều khiển tủ lạnh siêu thị

Một nhà phát triển vừa công bố Coldframe, một honeypot (bẫy dữ liệu) giả làm bộ điều khiển hệ thống lạnh của siêu thị. Công cụ này nhằm quan sát xem kẻ tấn công sẽ làm gì với một thiết bị trông có vẻ thật.

Ý tưởng ra đời sau các sự cố nhắm vào hệ thống lạnh công nghiệp trong những tuần gần đây. Theo mô tả của tác giả, trong năm 2026, kẻ tấn công đã xâm nhập các bộ giám sát lạnh kết nối Internet tại châu Âu bằng mật khẩu mặc định và firmware cũ chưa vá, sau đó ép thiết bị chạy chu trình xả băng (defrost).

Hai "nhân dạng" giả lập

Coldframe có hai chế độ giả lập:

• danfoss: giả làm bộ quản lý hệ thống Danfoss AK-SM 800A, cung cấp trang đăng nhập StoreView, bảng điều khiển siêu thị giả, API XML tại /html/xml.cgi và /xml.cgi, qua cả HTTP và HTTPS.
• dixell: giả làm bộ giám sát Copeland/Dixell XWEB EVO, cung cấp trang đăng nhập và các đường dẫn CGI XWEB 500 mà các mã khai thác công khai thường nhắm tới.

Điểm đáng chú ý là mức độ sao chép dấu vân tay thiết bị thật. Chế độ Danfoss mô phỏng header nginx và thứ tự header, tiêu đề trang StoreView, chỉ dùng TLS 1.2, cùng chứng chỉ tự ký một năm với CN=DanfossSM800A do một tổ chức tự ký cùng tên cấp. Chế độ Dixell thì không gửi header Server và đệm trang cho đúng 8.202 byte. Tác giả cho biết cả hai đều được Shodan nhận diện là thiết bị thật chứ không phải honeypot.

Công cụ là một file Python duy nhất, không phụ thuộc thư viện ngoài ngoài thư viện chuẩn, dựa trên dự án eppser/danfoss-ak-sm-decoy và các nghiên cứu công khai của Synacktiv, Claroty và Ironhackers.

Cho kẻ tấn công "vào trong"

Thay vì chặn ngay từ đầu, Coldframe cho phép một số đăng nhập yếu (ví dụ Supervisor / 12345) và mã "code of the day" đúng của CVE-2025-41450 đi qua. Kẻ tấn công nhận được session token và một bảng điều khiển gồm các tủ lạnh giả với nút xả băng. Mọi thao tác đều được ghi lại dưới dạng sự kiện điều khiển, nhưng không có gì thật phía sau.

Chế độ Dixell dùng luồng /cgi-bin/login.lua thật: đăng nhập mặc định Admin / Admin thành công, năm lần sai trong năm phút sẽ khóa tài khoản, và các nỗ lực vượt qua xác thực XWEB Pro (CVE-2026-25085) bị gắn nhãn.

Các mã khai thác công khai được Coldframe nhận diện gồm:

• CVE-2023-25914: path traversal trên AK-SM 800A qua get_file
• CVE-2023-25915: command injection qua load_cert
• CVE-2025-41452: ghi đè header nginx qua load_nginx_headers
• CVE-2025-41450: vượt qua đăng nhập bằng "code of the day" (ghi nhận cả việc kẻ tấn công có tính đúng mã hay không)
• CVE-2021-45420: đường dẫn tải lên và thực thi lệnh của XWEB 500 dưới /cgi-bin/
• CVE-2026-25085: vượt qua đăng nhập XWEB Pro bằng auth_mode bất thường

Coldframe còn có thể chạy dịch vụ Modbus TCP tùy chọn với nhiệt độ tủ, điểm đặt và thanh ghi xả băng giả. Tuy nhiên tính năng này mặc định tắt, vì AK-SM 800A thật chỉ dùng Modbus để giao tiếp với bộ điều khiển tủ của chính nó.

Log và an toàn

Mỗi sự kiện được ghi thành một dòng JSON, gồm các loại như request, login_attempt, control, xml_cmd, tls_error và hoạt động Modbus. Kèm theo là script summary.py biến log thành báo cáo ngắn.

Về an toàn, công cụ không thực thi lệnh, không đọc file hay chuyển tiếp lưu lượng; payload khai thác chỉ được ghi lại rồi bỏ. Kích thước yêu cầu, trường log và kết nối đều bị giới hạn, có giới hạn theo từng nguồn để một kẻ tấn công không lấn át những người khác. Kết nối gửi dữ liệu nhỏ giọt để giữ mở bị cắt sau 30 giây.

Container chạy với người dùng không phải root trong user namespace riêng, trên hệ thống file chỉ đọc và không có capability. Tác giả cũng lưu ý các trường log do kẻ tấn công kiểm soát nên cần coi là dữ liệu không tin cậy.

Hạn chế

Tác giả thẳng thắn thừa nhận một số hạn chế: tương tác còn nông, người đăng nhập chỉ thấy bảng điều khiển nhỏ và vài lệnh XML chứ không phải toàn bộ ứng dụng StoreView. Vì mã nguồn công khai, bất kỳ ai cũng có thể nhận diện chính xác phản hồi của nó, nên khi triển khai thật cần đổi chuỗi nhân dạng, bố cục trang và tên chứng chỉ. Ngoài ra, một số chi tiết như đường dẫn tĩnh và hình dạng phản hồi XML của thiết bị thật chưa được công bố, nên Coldframe dùng giá trị hợp lý thay thế.

Công cụ được phát hành theo giấy phép MIT và hiện có hai bản chạy thử trong một ngày, mới chỉ ghi nhận các scanner chung và crawler của Shodan.

Góc nhìn

Với các kỹ sư và doanh nghiệp Việt Nam vận hành hệ thống lạnh công nghiệp, kho lạnh hay chuỗi bán lẻ, câu chuyện này là lời nhắc về những thiết bị ICS/OT (hệ thống điều khiển công nghiệp) đang lộ diện trực tiếp trên Internet. Những điểm yếu mà Coldframe khai thác — mật khẩu mặc định, firmware cũ, giao diện quản trị mở công khai — đều là lỗi cấu hình có thể phòng tránh mà không cần đầu tư lớn.

Việc honeypot như Coldframe tái tạo được dấu vân tay thật cho thấy kẻ tấn công hoàn toàn có thể nhắm mục tiêu tự động vào các thiết bị này dựa trên dữ liệu quét công khai. Do đó, việc rà soát thiết bị nào đang mở cổng ra ngoài, đổi mật khẩu mặc định, cập nhật firmware và đặt thiết bị sau lớp mạng riêng là bước cơ bản nên làm trước khi tính đến các giải pháp phức tạp hơn. Về phía đội ngũ bảo mật, một honeypot nhẹ như Coldframe cũng là cách rẻ để thu thập dấu hiệu tấn công thực tế, miễn là triển khai cô lập và không để lộ dữ liệu nội bộ.