{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 nodos de redes bot que pueden ser hackeados.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Los analistas de virus y los investigadores de seguridad inform\u00e1tica buscan recopilar la mayor cantidad posible de muestras de nuevos botnets. Para ello, utilizan honeypots\u2026 Pero, \u00bfqu\u00e9 pasa si se quiere observar el malware en condiciones reales? \u00bfPoner en riesgo su servidor, enrutador? \u00bfY si no hay un dispositivo adecuado? Precisamente estas preguntas me llevaron a crear bhunter, una herramienta para acceder a nodos de redes bot.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

La idea principal<\/h1>\n

\nExisten muchas formas de propagar malware para ampliar botnets: desde phishing hasta la explotaci\u00f3n de vulnerabilidades 0-day. Pero el m\u00e9todo m\u00e1s com\u00fan sigue siendo el ataque por fuerza bruta a las contrase\u00f1as de SSH.<\/p>\n

La idea es muy simple. Si un nodo de la botnet est\u00e1 intentando acceder a tu servidor mediante fuerza bruta, es muy probable que ese nodo haya sido capturado por el mismo m\u00e9todo. Por lo tanto, para obtener acceso a \u00e9l, solo necesitas devolverle el \u2018favor\u2019.<\/p>\n

As\u00ed es como funciona bhunter. Escucha el puerto 22 (servicio SSH) y recopila todos los logins y contrase\u00f1as que intentan conectarse a \u00e9l. Luego, usando las contrase\u00f1as recopiladas, intenta conectarse a los nodos atacantes.<\/p>\n

Algoritmo de funcionamiento<\/h1>\n

\nEl programa se puede dividir en 2 partes principales, que funcionan en hilos separados. La primera es el honeypot. Procesa los intentos de inicio de sesi\u00f3n, recopila logins y contrase\u00f1as \u00fanicos (en este caso, la pareja login+contrase\u00f1a se considera un todo), y tambi\u00e9n agrega a la cola las direcciones IP que intentaron conectarse para ataques posteriores.<\/p>\n

La segunda parte es responsable de la ataque. La ataque se realiza en dos modos: BurstAttack (ataque por cola) \u2014 fuerza bruta de logins y contrase\u00f1as de una lista general y SingleShotAttack (ataque individual) \u2014 fuerza bruta de contrase\u00f1as que se usaron en el nodo atacado, pero que a\u00fan no se han agregado a la lista general.<\/p>\n

Para tener alguna base de logins y contrase\u00f1as inmediatamente despu\u00e9s del lanzamiento, bhunter se inicializa con una lista del archivo \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interfaz<\/h1>\n

\nSe prev\u00e9n varias formas de iniciar bhunter:<\/p>\n

Simplemente con el comando<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nCon este lanzamiento, hay la posibilidad de gestionar bhunter a trav\u00e9s de su men\u00fa de texto: agregar nombres de usuario y contrase\u00f1as para el ataque, exportar la base de nombres de usuario y contrase\u00f1as, indicar un objetivo para el ataque. Todos los nodos hackeados se pueden ver en el archivo \/var\/log\/bhunter\/hacked.log.<\/p>\n
Usando tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # comando para iniciar bhunter a trav\u00e9s de tmux  \nsudo tmux attach -t bhunter # nos conectamos a la sesi\u00f3n en la que est\u00e1 ejecut\u00e1ndose bhunter\n<\/code><\/pre>\n
\nTmux es un multiplexor de terminal, una herramienta muy conveniente. Permite crear m\u00faltiples ventanas dentro de un solo terminal y dividir las ventanas en paneles. Al usarlo, puedes salir del terminal y luego volver sin interrumpir los procesos en ejecuci\u00f3n. <\/p>\n
El script bhunter-ts crea una sesi\u00f3n tmux y divide la ventana en tres paneles. En el primero, el m\u00e1s grande, se encuentra el men\u00fa de texto. La parte superior derecha contiene los registros del honeypot, donde se pueden ver los mensajes sobre intentos de acceso al honeypot. En el panel inferior derecho se muestra informaci\u00f3n sobre el progreso del ataque a los nodos de las redes bot y sobre los hackeos exitosos.<\/p>\n
La ventaja de este m\u00e9todo sobre el primero es que podemos cerrar el terminal sin preocupaciones y volver a \u00e9l m\u00e1s tarde, mientras que bhunter no detendr\u00e1 su trabajo. A aquellos que no est\u00e1n familiarizados con tmux les sugiero  esta gu\u00eda r\u00e1pida<\/a><\/noindex>.<\/p>\n
Como servicio<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nEn este caso, estamos habilitando el inicio autom\u00e1tico de bhunter al arrancar el sistema. En este m\u00e9todo no se prev\u00e9 la interacci\u00f3n con bhunter, y la lista de nodos hackeados se puede obtener de \/var\/log\/bhunter\/hacked.log<\/p>\n
Eficiencia<\/h1>\n
\nDurante el tiempo que trabaj\u00e9 en bhunter, logr\u00e9 encontrar y acceder a dispositivos completamente diferentes: raspberry pi, enrutadores (especialmente mikrotik), servidores web, y una vez a una granja de miner\u00eda (desafortunadamente, el acceso fue durante un d\u00eda, as\u00ed que no hubo una historia interesante). Aqu\u00ed tienes una captura de pantalla del programa, donde se puede ver la lista de nodos hackeados despu\u00e9s de varios d\u00edas de trabajo:<\/p>\n
\"Bhunter
\n
\nDesafortunadamente, la eficacia de esta herramienta no cumpli\u00f3 con mis expectativas: bhunter puede probar contrase\u00f1as en los nodos durante varios d\u00edas sin \u00e9xito, o puede hackear varios objetivos en un par de horas. Pero para un flujo regular de nuevas muestras de botnets, esto es suficiente.<\/p>\n
La eficacia est\u00e1 influenciada por par\u00e1metros como: el pa\u00eds donde se encuentra el servidor con bhunter, el hosting, y el rango desde el cual se asigna la direcci\u00f3n IP. En mi experiencia, hubo un caso en el que alquil\u00e9 dos servidores virtuales de un mismo host, y uno de ellos fue objeto de ataques por parte de botnets el doble de veces.<\/p>\n
Bugs que a\u00fan no he solucionado<\/h1>\n
\nAl atacar nodos infectados, en algunas situaciones no se puede determinar con certeza si la contrase\u00f1a fue aceptada o no. El registro de tales casos se lleva en el archivo \/var\/log\/debug.log.<\/p>\n
El m\u00f3dulo Paramiko, que se utiliza para trabajar con SSH, a veces se comporta de manera incorrecta: se queda esperando indefinidamente una respuesta del nodo cuando intenta conectarse. He experimentado con temporizadores, pero no he obtenido el resultado deseado.<\/p>\n
\u00bfEn qu\u00e9 m\u00e1s debemos trabajar?<\/h1>\n
<\/p>\n
Nombre del servicio<\/h5>\n
\nSeg\u00fan el RFC-4253, el cliente y el servidor intercambian los nombres de los servicios que implementan el protocolo SSH antes de la conexi\u00f3n. Este nombre se encuentra en el campo \u00abSERVICE NAME\u00bb, que est\u00e1 presente tanto en la solicitud del cliente como en la respuesta del servidor. El campo es una cadena, y su valor se puede conocer usando wireshark o nmap. Aqu\u00ed hay un ejemplo para OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nIniciando Nmap ...\nPUERTO   ESTADO SERVICIO VERSIÓN\n22\/tcp abierto  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocolo 2.0)\nNmap finalizado: 1 dirección IP (1 host activo) escaneado en 0.47 segundos\n<\/code><\/pre>\n
\nSin embargo, en el caso de Paramiko, este campo contiene una cadena del tipo \u00abParamiko Python sshd 2.4.2\u00bb, lo que puede disuadir a los botnets, que incorporan el \u00abevitar\u00bb trampas. Por lo tanto, considero necesario reemplazar esta cadena por algo m\u00e1s neutral.<\/p>\n
Otros vectores<\/h5>\n
\nSSH no es el \u00fanico medio de gesti\u00f3n remota. Tambi\u00e9n existen telnet y rdp. Vale la pena prestar atenci\u00f3n a ellos.<\/p>\n
Extensi\u00f3n<\/h5>\n
\nSer\u00eda genial tener varias trampas en diferentes pa\u00edses y recopilar centralizadamente los inicios de sesi\u00f3n, contrase\u00f1as y nodos comprometidos en una base de datos com\u00fan. <\/p>\n
\u00bfD\u00f3nde descargar?<\/h1>\n
\nEn el momento de escribir este art\u00edculo, solo est\u00e1 lista la versi\u00f3n de prueba, que se puede descargar de el repositorio en Github<\/a><\/noindex>.
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 hackeando nodos de botnets | ProHoster","description":"Los analistas de virus y los investigadores de seguridad inform\u00e1tica se esfuerzan por reunir la mayor cantidad posible de muestras de nuevos botnets.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}