슈퍼마켓 냉장고 컨트롤러 위장 허니팟 공개
원제: Show HN: Coldframe, a honeypot that poses as a supermarket fridge controller
왜 중요한가
OT·ICS 환경의 인터넷 노출 위협을 실제 사례 기반으로 가시화하고, 위협 인텔리전스 수집 비용을 대폭 낮춘다는 점에서 산업보안 연구에 실질적 가치가 있다.
보안 연구자 hedgerow-dev가 2025년 GitHub에 슈퍼마켓 냉장고 감시 장치를 위장한 저상호작용 허니팟 'Coldframe'을 공개했다. Danfoss AK-SM 800A와 Dixell XWEB 500 두 가지 실제 기기를 모방하며, 외부 의존성 없이 Python 표준 라이브러리만으로 구동된다.
Coldframe은 인터넷에 노출된 슈퍼마켓 냉장고 감시 제어장치를 흉내 내는 허니팟이다. 프로젝트 README에 따르면, 2026년 유럽 전역에서 공격자들이 기본 패스워드와 패치되지 않은 펌웨어를 이용해 냉장고 슈퍼바이저 시스템에 침입하고 강제 해동(defrost) 사이클을 실행한 사건이 개발 배경이다.
Coldframe은 두 가지 페르소나를 제공한다. 'danfoss' 페르소나는 StoreView 로그인 화면, 가짜 매장 대시보드, XML API 엔드포인트(/html/xml.cgi, /xml.cgi)를 HTTP·HTTPS로 노출하며, 실제 AK-SM 800A 기기가 인터넷 스캐너에 노출하는 nginx 헤더 순서, TLS 1.2, 자체 서명 인증서(CN=DanfossSM800A) 등을 그대로 모방한다. 'dixell' 페르소나는 Copeland/Dixell XWEB EVO 로그인 페이지와 공개 익스플로잇이 겨냥하는 CGI 경로를 흉내 낸다.
시스템은 접속자 IP, 시도한 패스워드, 사용된 공개 익스플로잇을 기록하되 실제 제어 데이터는 절대 반환하지 않는다. 단일 Python 파일(honeypot.py)로 구성되어 표준 라이브러리 외 별도 설치가 필요 없으며, Containerfile과 cloud-init.yaml도 포함되어 클라우드 배포가 간편하다. GitHub에서 현재 별 31개를 기록 중이다.