Coldframe, el honeypot que caza hackers de neveras

Un archivo de Python que convierte un servidor de US$4 en una trampa para atacantes

Un honeypot es un señuelo digital: un sistema que finge ser un equipo real para atraer atacantes y registrar exactamente qué hacen. Coldframe aplica esa idea a un objetivo muy concreto —los controladores de refrigeración de supermercados— y lo hace con un único archivo de Python, sin dependencias fuera de la librería estándar.

El contexto no es teórico. En 2026, atacantes entraron en supervisores de refrigeración expuestos a internet en toda Europa usando contraseñas por defecto y firmware antiguo sin parchear, y forzaron ciclos de desescarche. Coldframe se hace pasar por uno de esos controladores: registra quién se conecta, qué contraseñas prueba y qué exploits públicos usa, y nunca le entrega nada real.

Para un founder, el interés va más allá de la refrigeración. Es un ejemplo de manual de cómo empaquetar una respuesta de seguridad en algo que se despliega en minutos y cuesta menos que un café al mes.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Cómo funciona un honeypot que finge ser un controlador Danfoss?

Coldframe adopta dos personalidades, y cada una copia la huella digital de un equipo real:

danfoss: imita un Danfoss AK-SM 800A system manager. Sirve la pantalla de login de StoreView, un dashboard falso de tienda y la API XML en /html/xml.cgi y /xml.cgi, por HTTP y HTTPS.
dixell: imita un supervisor Copeland/Dixell XWEB EVO, con su página de login y las rutas CGI del XWEB 500 que apuntan los exploits públicos.

La personalidad Danfoss replica lo que los escáneres de internet registran en unidades AK-SM 800A reales: el encabezado de servidor nginx y su orden, el título de la página StoreView, TLS 1.2 únicamente y un certificado de un año para CN=DanfossSM800A emitido por una autoridad SelfSigned-DanfossSM800A. Cada build genera sus propias claves.

Los logins débiles —por ejemplo Supervisor / 12345— y un código correcto del mecanismo code of the day de CVE-2025-41450 funcionan. El atacante recibe un token de sesión y un panel con cámaras frigoríficas falsas y botones de desescarche. Cada acción queda registrada como evento de control; nada de eso es real.

La personalidad Dixell sigue el mismo criterio: sin encabezado Server, con el mismo conjunto y orden de cabeceras de seguridad, las mismas rutas de assets y el mismo tamaño de página. Su login usa el flujo real /cgi-bin/login.lua: el login de fábrica documentado Admin / Admin funciona, cinco fallos en cinco minutos bloquean al usuario, y los intentos de saltarse la autenticación de XWEB Pro vía auth_mode (CVE-2026-25085) quedan etiquetados.

¿Qué exploits registra Coldframe?

Cada petición que coincide con un exploit público recibe un campo exploit en el log. La lista cubre ambas familias de equipos:

CVE-2023-25914: path traversal en el AK-SM 800A vía get_file.
CVE-2023-25915: inyección de comandos en el AK-SM 800A vía load_cert.
CVE-2025-41452: sobrescritura de cabeceras nginx en el AK-SM 800A vía load_nginx_headers.
CVE-2025-41450: bypass de login code of the day del AK-SM 800A, anotando si el atacante calculó el código correcto.
CVE-2021-45420: rutas de subida y comandos del XWEB 500 bajo /cgi-bin/.
CVE-2026-25085: bypass de login de XWEB Pro mediante un auth_mode inesperado.

Además, ambas personalidades pueden levantar un servicio Modbus TCP opcional con temperaturas de cámara, setpoints y un registro de desescarche falsos. Los AK-SM 800A reales solo usan Modbus para hablar con sus propios controladores de cámara, así que viene apagado por defecto: se activa para capturar escáneres industriales genéricos.

¿Por qué importa ahora? El ataque que originó el proyecto

El ataque que Coldframe busca imitar fue masivo. Según Cybersecurity Dive, los atacantes manipularon sistemas de refrigeración en cientos de supermercados y elevaron la temperatura hasta 120 grados Fahrenheit, provocando incendios y pérdida de alimentos. Entre las cadenas afectadas figuraron Carrefour, Monoprix y los supermercados de Cooperative U; unos 300 establecimientos de Intermarché y Netto quedaron afectados a través de un proveedor de servicios que gestionaba su refrigeración.

La investigación venía de antes. Claroty había advertido en un informe de agosto sobre vulnerabilidades en la interfaz web de gestión de los controladores Danfoss AK-SM 800A y demostró que un atacante podía cortar la refrigeración mientras el personal seguía viendo temperaturas normales. Danfoss publicó avisos para CVE-2025-41451 y CVE-2025-41452, y la agencia francesa ANSSI amplió la alerta a los controladores Copeland xweb y Dixell xweb. Según Infosecurity Magazine, el fabricante danés parcheó tres vulnerabilidades en sus AK-SM 800A en marzo de 2025 (CVE-2025-41450) y agosto de 2025 (CVE-2025-41451 y CVE-2025-41452).

La reacción del mercado fue rápida pero incompleta. Censys detectó que los controladores Danfoss StoreView expuestos a internet en Francia cayeron un 71% en tres días: de 1.825 paneles el 11 de octubre a 537 el 14 de octubre. Ese mismo 11 de octubre, Censys contaba 2.991 hosts con panel StoreView expuestos en todo el mundo, el 61% de ellos en Francia. Los investigadores señalaron que los operadores no estaban parcheando, sino simplemente desconectando los equipos de internet.

El problema de fondo sigue ahí. Forescout identificó 12.976 observaciones de servicios de refrigeración expuestos en 6.017 direcciones IP públicas de 99 países, con 7.075 correspondientes a Copeland/Dixell XWEB y 4.697 a Danfoss StoreView. Y el 80% de los servicios Danfoss StoreView observados corrían firmware antiguo potencialmente afectado por vulnerabilidades conocidas. En el mismo informe, recogido por Hackread, Forescout rastreó más de 20 ataques reivindicados contra sistemas de refrigeración desde enero de 2026, con los grupos prorrusos Z-Pentest Alliance y NoName057(16) entre los más activos.

¿Cómo se despliega en menos de diez minutos?

Coldframe está pensado para gente que no quiere montar un laboratorio de seguridad. El camino corto:

Crear un servidor Ubuntu 24.04 —el propio proyecto señala que un droplet de US$4 de DigitalOcean es suficiente— y pegar el cloud-init.yaml del repositorio en el campo de datos de usuario.
Cambiar PERSONA=danfoss por dixell si se quiere la personalidad XWEB. Unos dos minutos después del arranque, el señuelo escucha en el puerto 80 (y 443 en el caso Danfoss).
En el firewall del proveedor, abrir solo los puertos del señuelo y limitar SSH a la propia dirección IP.
Leer el log con ssh root@<server> 'podman logs coldframe'.

Para quien prefiera contenedores, la imagen se construye con podman build -t coldframe . y se ejecuta con podman rootful o Docker. El proyecto advierte que el reenvío de puertos en modo rootless reescribe la dirección de origen, con lo que todos los atacantes parecerían la misma IP interna.

El endurecimiento del contenedor es parte del atractivo: --read-only, --cap-drop=ALL, --security-opt no-new-privileges, --userns=auto, límite de 128 MB de memoria y 512 procesos. El propio honeypot nunca ejecuta comandos, no lee archivos ni reenvía tráfico: los payloads de exploit se registran y se descartan.

¿Cuáles son los límites que el autor reconoce?

El repositorio es inusualmente honesto sobre sus debilidades, y eso importa si se piensa usarlo en producción:

Interacción superficial: los atacantes que logran entrar ven un dashboard pequeño y unos pocos comandos XML, no la aplicación StoreView completa.
El código público se puede identificar por su huella: cualquiera puede leer el repositorio y detectar sus respuestas exactas. El autor recomienda cambiar los strings de personalidad, el layout y el sujeto del certificado.
Detalles sin confirmar: rutas estáticas, la app web completa y algunas formas de respuesta XML de las unidades reales no son públicas; donde faltaban, Coldframe usa valores plausibles.
Las IPs de nube levantan sospechas: algunos escáneres marcan dispositivos industriales alojados en cloud como probables honeypots.

¿Qué significa esto para tu startup?

Aunque tu producto no tenga nada que ver con la refrigeración, el caso deja tres lecciones aplicables.

Primero, el inventario es la mitad del trabajo. El ataque francés no explotó un fallo exótico: entró por contraseñas por defecto y firmware sin actualizar en equipos que estaban directamente expuestos a internet. Antes de comprar cualquier herramienta, revisa qué activos tuyos —paneles de administración, routers, cámaras, sensores, controladores— responden desde fuera de tu red. Los buscadores de dispositivos conectados permiten hacer esa consulta en minutos.

Segundo, desconectar gana a parchear cuando el parche no llega. Censys mostró que los operadores franceses redujeron la exposición un 71% en tres días simplemente sacando los equipos de internet. Si tienes hardware antiguo que ya no recibe actualizaciones —el AK-SM 800 llegó a fin de vida en 2021, según Cybersecurity Dive—, la decisión correcta no es esperar un firmware que no va a llegar, sino ponerlo detrás de una VPN o de una red protegida.

Tercero, un señuelo es un sensor barato. Un honeypot no protege por sí solo, pero te avisa de que alguien está buscando tus equipos antes de que encuentre uno real. Coldframe cuesta US$4 al mes y se despliega en dos minutos, lo que lo convierte en una forma razonable de empezar a medir el ruido que recibe tu infraestructura. Si tu producto es IoT o industrial, además te da una lista concreta de los exploits que la comunidad está usando contra tu categoría de dispositivo.

La advertencia final es la misma que aplica a cualquier sensor: los campos del log los controla el atacante. Trátalos como datos no confiables cuando los visualices o los proceses.