Viirusanalüütikud ja küberohtude uurijad püüavad koguda võimalikult palju uusi botivõrkude näidiseid. Oma eesmärkide nimel kasutavad nad honeypoti... Aga mis siis, kui soovid jälgida pahavara reaalses keskkonnas? Soovida oma serverit või ruuterit ohtu seada? Ja mis siis, kui sobivat seadet pole? Need küsimused ajendasid mind looma bhunteri — tööriista, et pääseda botivõrkude sõlmedesse.

Põhimõte

On mitmeid viise pahavara levimiseks botivõrkude laiendamiseks: alates phishing'ust kuni 0-day haavatavuste ära kasutamiseni. Kuid endiselt on kõige levinum meetod paroolide järjestamine SSH-le.

Idee on väga lihtne. Kui mõnest botivõrgust tehdakse teie serverile paroolide järjekord, siis on tõenäoliselt see sõlm ise olnud väljakutse kaudu hõivatud lihtsate paroolidega. Seega, et sellele juurde pääseda, tuleb lihtsalt vastata talle "vastastikku".

Just nii toimib bhunter. Ta kuuleb 22. porti (SSH teenus) ja kogub kõik logiinid ja paroolid, millega üritatakse tema poole ühendust luua. Seejärel proovib ta kogutud paroole kasutada ründavate sõlmede ühendamiseks.

Töö algoritm

Programmi võib tinglikult jagada kaheks põhiosaks, mis töötavad eraldi voogudes. Esimene - honeypot. Töötleb sisselogimise katseid, kogub unikaalseid logi ja paroolide kombinatsioone (antud juhul loetakse logi ja parooli paar ühiseks), samuti lisab järjekorda IP-aadresse, mis üritasid ühendust luua, et neid hiljem rünnata.

Teine osa vastutab otse rünnaku eest. Rünnak toimub kahel režiimil: BurstAttack (järjekorra rünnak) — logiinide ja paroolide proovimine ühest loendist ning SingleShotAttack (ühe lasku rünnak) — paroolide proovimine, mida on kasutanud rünnatav sõlm, kuid mis pole veel üldisesse loendisse lisatud.

Kuna pärast käivitamist on oluline omada mingit logiinide ja paroolide baasi, initsialiseeritakse bhunter failist /etc/bhunter/defaultLoginPairs.

Liides

Bhunteri käivitamiseks on ette nähtud mitmeid viise:

Lihtsalt käsuga

sudo bhunter

Selle käivitamisega on võimalik hallata bhunter’it selle tekstimenüü kaudu: lisada sisse logimisi ja paroole rünnaku jaoks, eksportida sisse logimise ja paroolide baasi, määrata rünnaku sihtmärk. Kõiki häkitud sõlmi saab nähafailis /var/log/bhunter/hacked.log

Kasuta tmux

sudo bhunter-ts # käsk bhunter käivitamiseks läbi tmux  
sudo tmux attach -t bhunter # liitume sessiooniga, kus bhunter jookseb

Tmux on terminali multiplexer, väga mugav tööriist. See võimaldab ühes terminalis luua mitu akent ja jagada aknad paneelideks. Selle kasutamisel saab terminalist lahkuda ja hiljem tagasi tulla katkemata jooksvaid protsesse.

Skript bhunter-ts loob tmux seansi ja jagab akna kolmeks paneeliks. Esimeses - kõige suuremas, on tekstimenüü. Ülemises paremas paneelis on honeypoti logid, kus saab näha sissetuleku katsete teateid honeypot'i. Alumises paremas paneelis kuvatakse teavet rünnaku käigus olevate botivõrkude sõlmede ja eduka häkkimise kohta.

Selle meetodi eelis esimesega võrreldes on see, et saame terminali julgelt sulgeda ja hiljem tagasi tulla, samal ajal kui bhunter ei peata oma tööd. Neile, kes ei tunne tmux'it hästi, soovitan seda spikrit.

Teenuse vorm

systemctl enable bhunter
systemctl start bhunter

Antud juhul aktiveerime bhunteri automaatse käivitamise süsteemi käivitamisel. Selles meetodis ei ole ettenähtud interaktsiooni bhunteriga, kuid häkitud sõlmede nimekirja saab saada failist /var/log/bhunter/hacked.log

Tõhusus

Bhunteriga töötamise ajal õnnestus mul leida ja juurde pääseda täiesti erinevatele seadmetele: raspberry pi, ruuteritele (eriti mikrotik), veebi-serveritele, ja ühel päeval ka kaevandamisfarmile (kahjuks oli pääs sellele päeva jooksul, seega huvitavat lugu ei tulnud). Siin on ekraanipilt programmist, kus on näha häkitud sõlmede loetelu pärast mitmeid tööpäevi:

Kahjuks ei saavutanud antud tööriista efektiivsus minu ootusi: bhunter suudab proovida paroole sõlmedele mitu päeva tulemusteta, või võib häkkida mitu sihtmärki paari tunni jooksul. Kuid regulaarseks uute botivõrkude proovide saamiseks on see piisav.

Tõhususele mõjutavad sellised parameetrid nagu: riik, kus server bhunter asub, hostimine ja IP-aadressi vahemik. Minu kogemuse järgi oli juhtum, kus rentisin kaks virtuaalserverit ühelt hostijalt, ja üks neist oli botivõrkude rünnakute sihtmärk kahel korral sagedamini.

Vead, mida ma veel ei ole parandanud

Rünnaku ajal nakatunud sõlmedele ei pruugi teatud olukordades olla selge, kas parool sobib või mitte. Selliste juhtumite logimine toimub failis /var/log/debug.log.

Paramiko moodul, mida kasutatakse SSH-ga töötamiseks, käitub mõnikord valesti: see jääb ootama nädalatega vastust sõlmelt, kui püüab sellele ühendust luua. Olen katsetanud taimeritega, kuid mingit soovitud tulemust ei saanud.

Millega veel tuleb tööd teha?

Teenuse nimi

Vastavalt RFC-4253 vahetavad klient ja server enne ühenduse loomist teenuste nimesid, mis implementeerivad SSH protokolli. See nimi sisaldub väljases "SERVICE NAME", mis on nii kliendi päringus kui ka serveri vastuses. See väli on string ja selle väärtust saab teada, kasutades wiresharki või nmapi. Siin on näide OpenSSH jaoks:

$ nmap -p 22 ***.**.***.** -sV
Nmap käivitamine ...
PORT   OLEK TEENUS VERSIOON
22/tcp avatud  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protokoll 2.0)
Nmap lõpetatud: 1 IP-aadress (1 host on üleval) skaneeritud 0.47 sekundiga

Kuid Paramiku puhul sisaldab see väli stringi, mis näeb välja nagu "Paramiko Python sshd 2.4.2", mis võib hirmutada botivõrke, kus on loodud "püüniste vältimise" mehhanism. Seetõttu arvan, et on vajalik muuta see string midagi neutraalsemat.