{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 hackede noder i bot-netv\u00e6rk","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Virusanalytikere og it-sikkerhedseksperter str\u00e6ber efter at samle s\u00e5 mange pr\u00f8ver af nye botnet som muligt. Til dette form\u00e5l bruger de honeypots... Men hvad nu hvis man \u00f8nsker at observere malware i virkelige forhold? At uds\u00e6tte sin server, router for risiko? Hvad nu hvis der ikke er et passende udstyr? Disse sp\u00f8rgsm\u00e5l fik mig til at skabe bhunter - et v\u00e6rkt\u00f8j til at f\u00e5 adgang til knudepunkter i botnet.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Den grundl\u00e6ggende id\u00e9<\/h1>\n

\nDer findes mange m\u00e5der at sprede malware p\u00e5 for at udvide botnetv\u00e6rk: fra phishing til udnyttelse af 0-dags s\u00e5rbarheder. Men den mest almindelige metode forbliver stadig brute-force angreb p\u00e5 SSH-adgangskoder.<\/p>\n

Id\u00e9en er meget simpel. Hvis der fra en botnet-node udf\u00f8res brute-force angreb p\u00e5 din server, er det sandsynligt, at denne node selv blev overtaget via brute-force angreb med enkle adgangskoder. Det betyder, at for at f\u00e5 adgang til den, skal man blot give \"gensvar\".<\/p>\n

Og det er pr\u00e6cist, hvordan bhunter fungerer. Den lytter p\u00e5 port 22 (SSH-tjenesten) og indsamler alle loginoplysninger og adgangskoder, som pr\u00f8ver at oprette forbindelse. Derefter, ved hj\u00e6lp af de indsamlede adgangskoder, fors\u00f8ger den at oprette forbindelse til de angribende noder.<\/p>\n

Arbejdsm\u00e5de<\/h1>\n

\nProgrammet kan groft opdeles i 2 hoveddele, der k\u00f8rer i separate tr\u00e5de. Den f\u00f8rste er honeypot. Den behandler login-fors\u00f8g, indsamler unikke loginoplysninger og adgangskoder (i dette tilf\u00e6lde betragtes parret login+adgangskode som en helhed) og tilf\u00f8jer IP-adresser, som har fors\u00f8gt at forbinde, til en k\u00f8 til fremtidige angreb.<\/p>\n

Den anden del er direkte ansvarlig for angrebene. Angreb udf\u00f8res i to tilstande: BurstAttack (angreb i en k\u00f8) \u2014 brute-force angreb p\u00e5 loginoplysninger og adgangskoder fra en generel liste, og SingleShotAttack (enkeltst\u00e5ende angreb) \u2014 brute-force angreb p\u00e5 adgangskoder, der er blevet brugt af den angrebne node, men som endnu ikke er blevet tilf\u00f8jet til den generelle liste.<\/p>\n

For at have en vis basis af loginoplysninger og adgangskoder straks efter opstart, initialiseres bhunter med en liste fra filen \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interface<\/h1>\n

\nDer er flere m\u00e5der at starte bhunter p\u00e5:<\/p>\n

Bare med kommandoen<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nVed denne opstart er der mulighed for at styre bhunter gennem dens tekstbaserede menu: tilf\u00f8je brugernavne og adgangskoder til angreb, eksportere databasen med brugernavne og adgangskoder, angive m\u00e5l for angreb. Alle hackede knudepunkter kan ses i filen \/var\/log\/bhunter\/hacked.log<\/p>\n
Ved at bruge tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # start command for bhunter via tmux  \nsudo tmux attach -t bhunter # connect to the session where bhunter is running\n<\/code><\/pre>\n
\nTmux er en terminalmultiplexer og et meget nyttigt v\u00e6rkt\u00f8j. Det tillader dig at oprette flere vinduer inden for \u00e9n terminal og opdele vinduerne i paneler. Ved at bruge det kan du forlade terminalen og derefter logge ind igen uden at afbryde de k\u00f8rende processer. <\/p>\n
Scriptet bhunter-ts opretter en tmux-session og opdeler vinduet i tre paneler. I den st\u00f8rste panel er der en tekstmenu. \u00d8verste h\u00f8jre panel indeholder logfiler fra honeypot, her kan man se meddelelser om fors\u00f8g p\u00e5 adgang til honeypot. I den nederste h\u00f8jre panel vises information om angrebet p\u00e5 knudepunkter i botnet og om succesfulde hacks.<\/p>\n
Fordelen ved denne metode sammenlignet med den f\u00f8rste er, at vi trygt kan lukke terminalen og vende tilbage til den senere, mens bhunter ikke stopper arbejdet. For dem der ikke er s\u00e5 bekendt med tmux anbefaler jeg  denne huskeseddel<\/a><\/noindex>.<\/p>\n
Som en service<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nI dette tilf\u00e6lde aktiverer vi automatisk opstart af bhunter ved systemopstart. I denne metode er der ikke interaktion med bhunter, og listen over kompromitterede noder kan f\u00e5s fra \/var\/log\/bhunter\/hacked.log<\/p>\n
Effektivitet<\/h1>\n
\nI l\u00f8bet af mit arbejde med bhunter har jeg v\u00e6ret i stand til at finde og f\u00e5 adgang til en r\u00e6kke forskellige enheder: raspberry pi, routere (is\u00e6r mikrotik), webservere, og \u00e9n gang en mining farm (desv\u00e6rre var adgangen til den kun i l\u00f8bet af en dag, s\u00e5 der blev ikke nogen sp\u00e6ndende historie). Her er et screenshot af programmet, hvor listen over kompromitterede noder ses efter flere dages arbejde:<\/p>\n
\"Bhunter
\n
\nDesv\u00e6rre n\u00e5ede effektiviteten af dette v\u00e6rkt\u00f8j ikke mine forventninger: bhunter kan g\u00e6tte adgangskoder til noder i flere dage uden resultater, men kan ogs\u00e5 bryde ind i flere m\u00e5l p\u00e5 et par timer. Men for en regelm\u00e6ssig tilstr\u00f8mning af nye pr\u00f8ver af botnet er det tilstr\u00e6kkeligt.<\/p>\n
Effektiviteten p\u00e5virkes af parametre som: landet hvor serveren med bhunter befinder sig, hosting, og det interval som ip-adressen er tildelt fra. I mine erfaringer har der v\u00e6ret tilf\u00e6lde, hvor jeg har lejet to virtuelle servere fra samme host, og den ene blev ramt af angreb fra botnet to gange s\u00e5 ofte.<\/p>\n
Bugs jeg endnu ikke har rettet<\/h1>\n
\nVed angreb p\u00e5 inficerede noder er det i nogle situationer ikke muligt entydigt at bestemme, om adgangskoden var korrekt eller ej. Logning af s\u00e5danne tilf\u00e6lde f\u00f8res i filen \/var\/log\/debug.log.<\/p>\n
Paramiko-modulet, der bruges til at arbejde med SSH, opf\u00f8rer sig nogle gange inkorrekt: det g\u00e5r i en uendelig venteposition p\u00e5 svar fra noden, n\u00e5r det fors\u00f8ger at oprette forbindelse til den. Jeg har eksperimenteret med timere, men har ikke opn\u00e5et det \u00f8nskede resultat.<\/p>\n
Hvad skal der arbejdes p\u00e5 videre?<\/h1>\n
<\/p>\n
Servicenavn<\/h5>\n
\nIf\u00f8lge RFC-4253 udveksler klienten og serveren tjenester, der implementerer SSH-protokollen, f\u00f8r forbindelsen oprettes. Dette navn findes i feltet \"SERVICE NAME\", som findes i b\u00e5de klientens anmodning og serverens svar. Feltet best\u00e5r af en streng, og dens v\u00e6rdi kan findes ved hj\u00e6lp af wireshark eller nmap. Her er et eksempel for OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nStarter Nmap ...\nPORT   STATUS SERVICE VERSION\n22\/tcp åben  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protokol 2.0)\nNmap færdig: 1 IP-adresse (1 vært op) scannet på 0,47 sekunder\n<\/code><\/pre>\n
\nMen i tilf\u00e6lde af Paramiko indeholder dette felt en streng som \"Paramiko Python sshd 2.4.2\", som kan skr\u00e6mme botnet, der er programmeret til at \"undg\u00e5\" f\u00e6lder. Jeg mener derfor, at det er n\u00f8dvendigt at \u00e6ndre denne streng til noget mere neutralt.<\/p>\n
Andre vektorer<\/h5>\n
\nSSH er ikke det eneste middel til fjernstyring. Der er ogs\u00e5 telnet og rdp. Det kan v\u00e6re v\u00e6rd at kigge p\u00e5 dem ogs\u00e5.<\/p>\n
.sql<\/h5>\n
\nDet ville v\u00e6re godt at have flere f\u00e6lder i forskellige lande og centralt indsamle login, adgangskoder og kompromitterede noder i en samlet database. <\/p>\n
Hvor kan jeg downloade?<\/h1>\n
\nP\u00e5 tidspunktet for skrivningen er kun en testversion klar, som kan downloades fra repository p\u00e5 Github.<\/a><\/noindex>.
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 kn\u00e6kker botnet-noder | ProHoster","description":"Virusanalytikere og forskere inden for computersikkerhed str\u00e6ber efter at indsamle s\u00e5 mange pr\u00f8ver af nye botnet som muligt.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}