Открытая ловушка Coldframe выдаёт себя за контроллер холодильников супермаркета
Группа разработчиков опубликовала открытый инструмент Coldframe, который притворяется контроллером холодильного оборудования супермаркета и фиксирует попытки взлома. Он имитирует устройства Danfoss и Dixell и записывает пароли и применяемые известные эксплойты.
На GitHub опубликован открытый инструмент Coldframe — так называемый honeypot («горшочек с мёдом»), то есть намеренно выставленная приманка, имитирующая настоящее устройство, чтобы наблюдать за действиями злоумышленников. В данном случае приманка изображает контроллеры, управляющие холодильным оборудованием супермаркетов. Проект также попал на сайт технологических новостей и обсуждений Hacker News.
Согласно описанию проекта, в 2026 году злоумышленники проникали в доступные из интернета супервизоры холодильных систем в Европе, используя пароли по умолчанию и старую необновлённую прошивку, а затем принудительно запускали циклы разморозки. Coldframe притворяется таким контроллером: он записывает, кто подключается, какие пароли пробует и какие публичные эксплойты применяет, при этом не раскрывает ничего настоящего.
Два имитируемых устройства
Инструмент предлагает два режима. Первый имитирует системный менеджер Danfoss AK-SM 800A со страницей входа StoreView, поддельной панелью магазина и XML-интерфейсом. Второй имитирует супервизор Copeland/Dixell XWEB EVO. В обоих случаях авторы воспроизвели признаки, которые интернет-сканеры фиксируют у реальных устройств, например заголовки сервера и вид страниц. Слабые комбинации для входа принимаются, и злоумышленник видит поддельную панель холодильных витрин с кнопками разморозки; каждое действие лишь записывается. Дополнительно можно включить службу Modbus TCP, которая применяется в промышленных системах.
Распознаваемые уязвимости
Запросы, соответствующие публичным уязвимостям, помечаются в журнале; среди них CVE-2023-25914, CVE-2023-25915, CVE-2025-41450, CVE-2025-41452, CVE-2021-45420 и CVE-2026-25085. Полезная нагрузка эксплойтов записывается и отбрасывается, а не выполняется.
Безопасность и ограничения
Авторы заявляют, что инструмент не выполняет команды, не читает файлы и не пересылает трафик, и рекомендуют запускать его в контейнере с ограниченными правами. К ограничениям они относят поверхностное взаимодействие и то, что публичный код можно распознать по его ответам. Проект распространяется по лицензии MIT.
