{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 pirater les n\u0153uds des botnets","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les analystes de virus et les chercheurs en cybers\u00e9curit\u00e9 s'efforcent de collecter autant d'\u00e9chantillons que possible de nouveaux botnets. Ils utilisent des honeypots \u00e0 cet effet\u2026 Mais que faire si l'on souhaite observer un malware dans des conditions r\u00e9elles ? Sacrifier son propre serveur, son routeur ? Et que faire si l'on n'a pas l'appareil ad\u00e9quat ? Ces questions m'ont conduit \u00e0 cr\u00e9er bhunter \u2014 un outil pour acc\u00e9der aux n\u0153uds des botnets.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

L'id\u00e9e principale<\/h1>\n

\nIl existe de nombreuses fa\u00e7ons de propager des malwares pour \u00e9tendre les botnets : allant du phishing \u00e0 l'exploitation de vuln\u00e9rabilit\u00e9s 0-day. Cependant, la m\u00e9thode la plus r\u00e9pandue reste encore l'attaque par force brute des mots de passe SSH.<\/p>\n

L'id\u00e9e est tr\u00e8s simple. Si un n\u0153ud du botnet essaie de deviner les mots de passe pour votre serveur, il est fort probable que ce n\u0153ud ait lui-m\u00eame \u00e9t\u00e9 compromis par la m\u00e9thode du mot de passe simple. Alors, pour acc\u00e9der \u00e0 lui, il suffit de r\u00e9pondre par la \u00ab r\u00e9ciprocit\u00e9 \u00bb.<\/p>\n

C'est exactement comme cela que fonctionne bhunter. Il \u00e9coute le port 22 (service SSH) et collecte tous les identifiants et mots de passe avec lesquels des tentatives de connexion sont effectu\u00e9es. Ensuite, en utilisant les mots de passe collect\u00e9s, il essaie de se connecter aux n\u0153uds attaquants.<\/p>\n

Algorithme de fonctionnement<\/h1>\n

\nLe programme peut \u00eatre grossi\u00e8rement divis\u00e9 en deux parties principales, qui fonctionnent dans des threads s\u00e9par\u00e9s. La premi\u00e8re \u2014 honeypot. Elle traite les tentatives de connexion, collecte les identifiants et mots de passe uniques (dans ce cas, la paire identifiant + mot de passe est consid\u00e9r\u00e9e comme un tout), et ajoute \u00e0 la liste les adresses IP qui ont tent\u00e9 de se connecter pour une attaque ult\u00e9rieure.<\/p>\n

La deuxi\u00e8me partie est directement responsable de l'attaque. L'attaque se d\u00e9roule en deux modes : BurstAttack (attaque en queue) \u2014 permutation des identifiants et mots de passe d'une liste commune et SingleShotAttack (attaque par tirs uniques) \u2014 permutation des mots de passe utilis\u00e9s par le n\u0153ud attaqu\u00e9, mais qui n'ont pas encore \u00e9t\u00e9 ajout\u00e9s \u00e0 la liste commune.<\/p>\n

Pour avoir au moins une base d'identifiants et de mots de passe d\u00e8s le lancement, bhunter est initialis\u00e9 avec une liste provenant du fichier \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interface<\/h1>\n

\nPlusieurs fa\u00e7ons de lancer bhunter sont pr\u00e9vues :<\/p>\n

Simplement avec la commande<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nLors de ce lancement, il est possible de contr\u00f4ler bhunter via son menu texte : ajouter des identifiants et mots de passe pour une attaque, exporter la base d'identifiants et de mots de passe, sp\u00e9cifier une cible d'attaque. Tous les n\u0153uds compromis peuvent \u00eatre consult\u00e9s dans le fichier \/var\/log\/bhunter\/hacked.log<\/p>\n
En utilisant tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # commande pour lancer bhunter via tmux  \nsudo tmux attach -t bhunter # nous connectons \u00e0 la session dans laquelle bhunter est lanc\u00e9\n<\/code><\/pre>\n
\nTmux est un multiplexeur de terminal, un outil tr\u00e8s pratique. Il permet de cr\u00e9er plusieurs fen\u00eatres dans un m\u00eame terminal et de diviser les fen\u00eatres en panneaux. En l'utilisant, vous pouvez quitter le terminal puis revenir sans interrompre les processus lanc\u00e9s. <\/p>\n
Le script bhunter-ts cr\u00e9e une session tmux et divise la fen\u00eatre en trois panneaux. Le premier \u2014 le plus grand \u2014 contient le menu texte. Le coin sup\u00e9rieur droit affiche les journaux du honeypot, o\u00f9 l'on peut voir les messages concernant les tentatives de connexion au honeypot. Dans le panneau inf\u00e9rieur droit, des informations sur le d\u00e9roulement de l'attaque des n\u0153uds des botnets et sur les r\u00e9ussites des piratages sont affich\u00e9es.<\/p>\n
L'avantage de cette m\u00e9thode par rapport \u00e0 la premi\u00e8re est que nous pouvons fermer le terminal sans probl\u00e8me et y revenir plus tard, tout en permettant \u00e0 bhunter de continuer \u00e0 fonctionner. Pour ceux qui ne sont pas tr\u00e8s familiers avec tmux, je propose  ce m\u00e9mo<\/a><\/noindex>.<\/p>\n
En tant que service<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nDans ce cas, nous activons le d\u00e9marrage automatique de bhunter au d\u00e9marrage du syst\u00e8me. Dans cette m\u00e9thode, l'interaction avec bhunter n'est pas pr\u00e9vue, et la liste des n\u0153uds pirat\u00e9s peut \u00eatre r\u00e9cup\u00e9r\u00e9e \u00e0 partir de \/var\/log\/bhunter\/hacked.log<\/p>\n
Efficacit\u00e9<\/h1>\n
\nAu cours de mon travail sur bhunter, j'ai r\u00e9ussi \u00e0 trouver et acc\u00e9der \u00e0 des appareils tr\u00e8s vari\u00e9s : raspberry pi, routeurs (en particulier mikrotik), serveurs web, et une fois \u00e0 une ferme de minage (malheureusement, l'acc\u00e8s \u00e0 celle-ci \u00e9tait de courte dur\u00e9e, donc je n'ai pas eu d'histoire int\u00e9ressante). Voici une capture d'\u00e9cran du programme montrant la liste des n\u0153uds pirat\u00e9s apr\u00e8s plusieurs jours de fonctionnement :<\/p>\n
\"Bhunter
\n
\nMalheureusement, l'efficacit\u00e9 de cet outil n'a pas atteint mes attentes : bhunter peut passer plusieurs jours \u00e0 tenter de deviner des mots de passe sans succ\u00e8s, mais peut \u00e9galement pirater plusieurs cibles en quelques heures. Cependant, pour un flux r\u00e9gulier de nouveaux \u00e9chantillons de botnets, cela suffit.<\/p>\n
L'efficacit\u00e9 est influenc\u00e9e par des param\u00e8tres tels que : le pays o\u00f9 se trouve le serveur avec bhunter, l'h\u00e9bergement, et la plage \u00e0 partir de laquelle l'adresse IP est assign\u00e9e. D'apr\u00e8s mon exp\u00e9rience, il y a eu un cas o\u00f9 j'ai lou\u00e9 deux serveurs virtuels chez le m\u00eame h\u00e9bergeur, et l'un d'eux a subi des attaques de botnets deux fois plus souvent.<\/p>\n
Bugs que je n'ai pas encore corrig\u00e9s<\/h1>\n
\nLors de l'attaque de n\u0153uds infect\u00e9s, il y a des situations o\u00f9 il est difficile de d\u00e9terminer si le mot de passe a fonctionn\u00e9 ou non. La journalisation de ces cas est effectu\u00e9e dans le fichier \/var\/log\/debug.log.<\/p>\n
Le module Paramiko, utilis\u00e9 pour travailler avec SSH, se comporte parfois de mani\u00e8re incorrecte : il entre dans une attente infinie de r\u00e9ponse du n\u0153ud lorsqu'il essaie de s'y connecter. J'ai exp\u00e9riment\u00e9 avec des minuteurs, mais je n'ai pas obtenu le r\u00e9sultat souhait\u00e9.<\/p>\n
Sur quoi d'autre devons-nous travailler ?<\/h1>\n
<\/p>\n
Nom du service<\/h5>\n
\nSelon le RFC-4253, le client et le serveur \u00e9changent des noms de service mettant en \u0153uvre le protocole SSH avant d'\u00e9tablir la connexion. Ce nom se trouve dans le champ \u00ab SERVICE NAME \u00bb, pr\u00e9sent \u00e0 la fois dans la requ\u00eate du client et dans la r\u00e9ponse du serveur. Ce champ est une cha\u00eene, et sa valeur peut \u00eatre d\u00e9tect\u00e9e en utilisant Wireshark ou Nmap. Voici un exemple pour OpenSSH :<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nDémarrage de Nmap ...\nPORT   ÉTAT SERVICE VERSION\n22\/tcp ouvert  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocole 2.0)\nNmap terminé : 1 adresse IP (1 hôte actif) analysée en 0.47 secondes\n<\/code><\/pre>\n
\nCependant, dans le cas de Paramiko, ce champ contient une cha\u00eene du type \u00ab Paramiko Python sshd 2.4.2 \u00bb, ce qui peut repousser les botnets qui incluent \u00ab l'\u00e9vitement \u00bb des pi\u00e8ges. Je consid\u00e8re donc n\u00e9cessaire de remplacer cette cha\u00eene par quelque chose de plus neutre.<\/p>\n
Autres vecteurs<\/h5>\n
\nSSH n'est pas le seul moyen de gestion \u00e0 distance. Il y a aussi telnet, rdp. Il vaut la peine de s'y int\u00e9resser \u00e9galement.<\/p>\n
Extension<\/h5>\n
\nIl serait formidable d'avoir plusieurs pi\u00e8ges dans diff\u00e9rents pays et de collecter de mani\u00e8re centralis\u00e9e les identifiants, mots de passe et n\u0153uds compromis dans une base de donn\u00e9es commune. <\/p>\n
O\u00f9 t\u00e9l\u00e9charger ?<\/h1>\n
\nAu moment de la r\u00e9daction de cet article, seule une version de test est disponible pour t\u00e9l\u00e9chargement \u00e0 partir de du d\u00e9p\u00f4t sur Github<\/a><\/noindex>.
\n
Source : habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 nous piratons les n\u0153uds des botnets | ProHoster","description":"Les analystes de virus et les chercheurs en s\u00e9curit\u00e9 informatique s'efforcent de rassembler le plus grand nombre possible d'\u00e9chantillons de nouveaux botnets.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}