Ke holo nei nā mea noiʻi virus a me nā mea noiʻi palekana kamepiula e hōʻiliʻili i nā laʻana o nā botnets hou e like me ka hiki. Hoʻohana lākou i nā honeypots no kā lākou hana ponoʻī ... Akā pehea inā makemake ʻoe e nānā i ka malware i nā kūlana maoli? Hoʻokomo i kāu kikowaena a i ʻole ka mea alalai i ka pilikia? Pehea inā ʻaʻohe mea kūpono? ʻO kēia mau nīnau ka mea i hoʻoikaika iaʻu e hana i ka bhunter, kahi mea hana no ka loaʻa ʻana o nā node botnet.

Manaʻo manaʻo

Nui nā ala e hoʻolaha ai i ka malware e hoʻonui i nā botnets: mai ka phishing a hiki i ka hoʻohana ʻana i nā nāwaliwali o 0-lā. Akā ʻo ke ala maʻamau ka hoʻopaʻa ʻana i nā ʻōlelo huna SSH.

He maʻalahi loa ka manaʻo. Inā e hoʻāʻo ana kekahi pona botnet e hoʻoikaika i nā ʻōlelo huna no kāu kikowaena, a laila ua hopu ʻia kēia node ponoʻī e nā ʻōlelo huna maʻalahi. ʻO ia ke ʻano o ka loaʻa ʻana o ia mea, pono ʻoe e pānaʻi.

ʻO kēia ka hana a bhunter. Hoʻolohe i ka port 22 (lawelawe SSH) a hōʻiliʻili i nā logins āpau a me nā ʻōlelo huna a lākou e hoʻāʻo ai e hoʻopili iā ia. A laila, me ka hoʻohana ʻana i nā ʻōlelo huna i hōʻiliʻili ʻia, e hoʻāʻo e hoʻopili i nā nodes hoʻouka.

Algorithm algorithm

Hiki ke hoʻokaʻawale ʻia ka papahana i 2 mau ʻāpana nui, e hana ana i nā pae ʻokoʻa. ʻO ka mea mua he honeypot. Kaʻina hana hoʻāʻo hoʻopaʻa inoa, hōʻiliʻili i nā logins kūʻokoʻa a me nā ʻōlelo huna (i kēia hihia, ua manaʻo ʻia ka inoa inoa + password ma ke ʻano he hoʻokahi holoʻokoʻa), a hoʻohui pū i nā helu IP i hoʻāʻo e hoʻopili i ka pila no ka hoʻouka hou ʻana.

ʻO ka ʻāpana ʻelua ke kuleana pololei no ka hoʻouka ʻana. Eia kekahi, hana ʻia ka hoʻouka ʻana ma nā ʻano ʻelua: BurstAttack (hōʻeuʻeu ʻino) - hoʻopaʻa inoa ikaika a me nā ʻōlelo huna mai ka papa inoa maʻamau a me SingleShotAttack (hoʻouka kaua hoʻokahi) - nā ʻōlelo huna ikaika i hoʻohana ʻia e ka node i hoʻouka ʻia, akā ʻaʻole i loaʻa. hoʻohui ʻia i ka papa inoa maʻamau.

No ka loaʻa ʻana o kahi waihona o nā logins a me nā ʻōlelo huna ma hope koke o ka hoʻomaka ʻana, hoʻomaka ʻia ka bhunter me kahi papa inoa mai ka faila /etc/bhunter/defaultLoginPairs.

mau '

Nui nā ala e hoʻomaka ai i ka bhunter:

E like me ka hui

sudo bhunter

Me kēia hoʻolaha, hiki ke hoʻomalu i ka bhunter ma o kāna papa kuhikuhi kikokikona: hoʻohui i nā logins a me nā ʻōlelo huna no ka hoʻouka ʻana, e hoʻokuʻu aku i kahi waihona o nā logins a me nā ʻōlelo huna, e kuhikuhi i kahi pahuhopu no ka hoʻouka ʻana. Hiki ke ʻike ʻia nā node āpau i hacked ma ka faila /var/log/bhunter/hacked.log

Ke hoʻohana nei i ka tmux

sudo bhunter-ts # команда запуска bhunter через tmux  
sudo tmux attach -t bhunter # подключаемся к сессии, в которой запущен bhunter

ʻO Tmux kahi terminal multiplexer, kahi mea hana maʻalahi. Hiki iā ʻoe ke hana i kekahi mau puka makani i loko o ka pahu hoʻokahi, a hoʻokaʻawale i nā puka makani i mau panela. Ke hoʻohana nei iā ia, hiki iā ʻoe ke haʻalele i ka terminal a laila e komo me ka ʻole e hoʻopau i nā kaʻina holo.

Hoʻokumu ka bhunter-ts script i kahi hālāwai tmux a hoʻokaʻawale i ka puka makani i ʻekolu panela. ʻO ka mua, nui loa, aia kahi papa kuhikuhi kikokikona. Aia ma ka ʻaoʻao ʻākau nā lāʻau honeypot. Hōʻike ka ʻaoʻao ʻākau haʻahaʻa i ka ʻike e pili ana i ka holomua o ka hoʻouka ʻana i nā node botnet a me nā hacks kūleʻa.

ʻO ka maikaʻi o kēia ʻano ma mua o ka mea mua, hiki iā mākou ke pani palekana i ka pahu a hoʻi i laila ma hope, me ka ʻole o ka bhunter e hoʻōki i kāna hana. No ka poʻe i kamaʻāina liʻiliʻi me tmux, manaʻo wau keia pepa hoopunipuni.

Ma keʻano he lawelawe

systemctl enable bhunter
systemctl start bhunter

I kēia hihia, hiki iā mākou ke hoʻomaka i ka bhunter autostart i ka hoʻomaka ʻana o ka ʻōnaehana. Ma kēia ʻano, ʻaʻole i hāʻawi ʻia ka pilina me bhunter, a hiki ke loaʻa ka papa inoa o nā nodes hacked mai /var/log/bhunter/hacked.log

Ke kūpono

ʻOiai e hana ana ma ka bhunter, hiki iaʻu ke loaʻa a loaʻa ka loaʻa i nā mea like ʻole: raspberry pi, nā mea ala (ʻoi aku ka mikrotik), nā kikowaena pūnaewele, a hoʻokahi kahi mahiʻai mining (akā, ʻo ke komo ʻana i ka lā, no laila ʻaʻohe hoihoi. moʻolelo). Eia ke kiʻi kiʻi o ka papahana, e hōʻike ana i kahi papa inoa o nā nodes hacked ma hope o kekahi mau lā o ka hana:

ʻO ka mea pōʻino, ʻaʻole i hiki i ka maikaʻi o kēia hāmeʻa i kaʻu mau manaʻo: hiki iā bhunter ke hoʻāʻo i nā ʻōlelo huna i nā nodes no kekahi mau lā me ka kūleʻa ʻole, a hiki ke hack i kekahi mau pahuhopu i nā hola ʻelua. Akā ua lawa kēia no ka hoʻokomo mau ʻana o nā hōʻailona botnet hou.

Hoʻopili ʻia ka maikaʻi e nā ʻāpana e like me: ka ʻāina kahi i loaʻa ai ka server me bhunter, ka hoʻokipa ʻana, a me ka laulā kahi i hoʻokaʻawale ʻia ai ka IP address. I koʻu ʻike, aia kekahi hihia i ka wā i hoʻolimalima ai au i ʻelua mau kikowaena virtual mai hoʻokahi hoster, a ua hoʻouka ʻia kekahi o lākou e nā botnets 2 mau manawa pinepine.

ʻO nā pōpoki aʻu i hoʻoponopono ʻole ai

I ka hoʻouka ʻana i nā pūʻali maʻi, i kekahi mau kūlana ʻaʻole hiki ke hoʻoholo me ka maopopo ʻole inā pololei ka ʻōlelo huna a ʻaʻole paha. Hoʻopaʻa ʻia ia mau hihia ma ka faila /var/log/debug.log.

ʻO ka module Paramiko, i hoʻohana ʻia e hana pū me SSH, i kekahi manawa ke hana hewa ʻole: ke kali ʻole ʻo ia i ka pane mai ka mea hoʻokipa ke hoʻāʻo e hoʻopili iā ia. Ua hoʻāʻo wau me nā timers, akā ʻaʻole i loaʻa ka hopena i makemake ʻia

He aha hou aʻe e pono ai ke hana?

Inoa inoa

Wahi a RFC-4253, hoʻololi ka mea kūʻai aku a me ka server i nā inoa o nā lawelawe e hoʻokō i ka protocol SSH ma mua o ka hoʻokomo ʻana. Aia kēia inoa ma ka māhele "SERVICE NAME", aia ma ka noi mai ka ʻaoʻao o ka mea kūʻai aku a ma ka pane mai ka ʻaoʻao kikowaena. He kaula ke kahua, a hiki ke loaʻa kona waiwai me ka wireshark a i ʻole nmap. Eia kahi laʻana no OpenSSH:

$ nmap -p 22 ***.**.***.** -sV
Starting Nmap ...
PORT   STATE SERVICE VERSION
22/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protocol 2.0)
Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

Eia naʻe, i ka hihia o Paramiko, aia i kēia kahua kahi kaula e like me "Paramiko Python sshd 2.4.2", hiki ke hoʻoweliweli i nā botnets i hoʻolālā ʻia e "hōʻalo" i nā pahele. No laila, manaʻo wau he mea pono ke hoʻololi i kēia laina me kahi mea kūʻokoʻa.

Nā vectors ʻē aʻe

ʻAʻole ʻo SSH wale nō ke ala o ka hoʻokele mamao. Aia kekahi telnet, rdp. Pono e nānā pono iā lākou.

palena manawa

He mea maikaʻi loa ka loaʻa ʻana o kekahi mau pahele ma nā ʻāina like ʻole a hōʻiliʻili i waena o nā logins, nā ʻōlelo huna a me nā nodes hacked mai iā lākou i kahi waihona maʻamau.

Ma hea e hiki ai iaʻu ke hoʻoiho?

I ka manawa e kākau ai, ua mākaukau kahi mana hoʻāʻo, hiki ke hoʻoiho ʻia mai waihona ma Github.

Source: www.habr.com