वायरस विश्लेषक और कंप्यूटर सुरक्षा शोधकर्ता नए बॉटनेट के अधिक से अधिक नमूने एकत्र करने के लिए दौड़ रहे हैं। वे अपने उद्देश्यों के लिए हनीपोट्स का उपयोग करते हैं... लेकिन क्या होगा यदि आप वास्तविक परिस्थितियों में मैलवेयर का निरीक्षण करना चाहते हैं? अपने सर्वर या राउटर को खतरे में डालें? यदि कोई उपयुक्त उपकरण न हो तो क्या होगा? ये वे प्रश्न थे जिन्होंने मुझे बॉटनेट नोड्स तक पहुंच प्राप्त करने के लिए एक उपकरण, भुंटर बनाने के लिए प्रेरित किया।

केंद्रीय विचार

बॉटनेट का विस्तार करने के लिए मैलवेयर फैलाने के कई तरीके हैं: फ़िशिंग से लेकर 0-दिन की कमजोरियों का फायदा उठाने तक। लेकिन सबसे आम तरीका अभी भी एसएसएच पासवर्ड को क्रूर तरीके से लागू करना है।

विचार बहुत सरल है। यदि कोई बॉटनेट नोड आपके सर्वर के लिए पासवर्ड को बलपूर्वक लागू करने का प्रयास कर रहा है, तो सबसे अधिक संभावना है कि यह नोड स्वयं सरल पासवर्ड द्वारा बलपूर्वक कैप्चर किया गया था। इसका मतलब यह है कि इस तक पहुंच पाने के लिए, आपको बस पारस्परिक प्रतिक्रिया करने की आवश्यकता है।

भुंटर बिल्कुल इसी तरह काम करता है। पोर्ट 22 (एसएसएच सेवा) को सुनता है और उन सभी लॉगिन और पासवर्ड को एकत्र करता है जिनके साथ वे इससे जुड़ने का प्रयास करते हैं। फिर, एकत्रित पासवर्ड का उपयोग करके, यह हमलावर नोड्स से जुड़ने का प्रयास करता है।

कार्य एल्गोरिथ्म

प्रोग्राम को 2 मुख्य भागों में विभाजित किया जा सकता है, जो अलग-अलग थ्रेड में काम करते हैं। पहला है हनीपोट. लॉगिन प्रयासों को संसाधित करता है, अद्वितीय लॉगिन और पासवर्ड एकत्र करता है (इस मामले में, लॉगिन + पासवर्ड जोड़ी को एक संपूर्ण माना जाता है), और आईपी पते भी जोड़ता है जो आगे के हमले के लिए कतार से जुड़ने का प्रयास करते हैं।

हमले के लिए दूसरा हिस्सा सीधे तौर पर जिम्मेदार है. इसके अलावा, हमला दो मोड में किया जाता है: बर्स्टअटैक (विस्फोट हमला) - सामान्य सूची से ब्रूट फोर्स लॉगिन और पासवर्ड और सिंगलशॉटअटैक (सिंगल शॉट अटैक) - ब्रूट फोर्स पासवर्ड जो हमला किए गए नोड द्वारा उपयोग किए गए थे, लेकिन अभी तक नहीं किए गए हैं सामान्य सूची में जोड़ा गया.

लॉन्च के तुरंत बाद लॉगिन और पासवर्ड का कम से कम कुछ डेटाबेस रखने के लिए, bhunter को फ़ाइल /etc/bhunter/defaultLoginPairs से एक सूची के साथ आरंभ किया गया है।

अंतराफलक

भुंटर लॉन्च करने के कई तरीके हैं:

बिल्कुल एक टीम के रूप में

sudo bhunter

इस लॉन्च के साथ, अपने टेक्स्ट मेनू के माध्यम से भुंटर को नियंत्रित करना संभव है: किसी हमले के लिए लॉगिन और पासवर्ड जोड़ें, लॉगिन और पासवर्ड का डेटाबेस निर्यात करें, किसी हमले के लिए एक लक्ष्य निर्दिष्ट करें। सभी हैक किए गए नोड्स फ़ाइल /var/log/bhunter/hacked.log में देखे जा सकते हैं

tmux का उपयोग करना

sudo bhunter-ts # команда запуска bhunter через tmux  
sudo tmux attach -t bhunter # подключаемся к сессии, в которой запущен bhunter

Tmux एक टर्मिनल मल्टीप्लेक्सर है, जो एक बहुत ही सुविधाजनक उपकरण है। आपको एक टर्मिनल के भीतर कई विंडो बनाने और विंडो को पैनलों में विभाजित करने की अनुमति देता है। इसका उपयोग करके, आप टर्मिनल से बाहर निकल सकते हैं और फिर चल रही प्रक्रियाओं को बाधित किए बिना लॉग इन कर सकते हैं।

भुन्टर-टीएस स्क्रिप्ट एक tmux सत्र बनाती है और विंडो को तीन पैनलों में विभाजित करती है। पहले, सबसे बड़े, में एक टेक्स्ट मेनू होता है। ऊपर दाईं ओर हनीपोट लॉग हैं, यहां आप हनीपोट में लॉग इन करने के प्रयासों के बारे में संदेश देख सकते हैं। निचला दायां पैनल बॉटनेट नोड्स पर हमले की प्रगति और सफल हैक के बारे में जानकारी प्रदर्शित करता है।

पहली विधि की तुलना में इस विधि का लाभ यह है कि हम टर्मिनल को सुरक्षित रूप से बंद कर सकते हैं और बाद में बिना भुंटर के अपना काम रोके उस पर वापस लौट सकते हैं। जो लोग tmux से थोड़ा परिचित हैं, उनके लिए मेरा सुझाव है यह धोखा पत्र.

एक सेवा के रूप में

systemctl enable bhunter
systemctl start bhunter

इस मामले में, हम सिस्टम स्टार्टअप पर भुंटर ऑटोस्टार्ट को सक्षम करते हैं। इस पद्धति में, भुंटर के साथ इंटरैक्शन प्रदान नहीं किया जाता है, और हैक किए गए नोड्स की सूची /var/log/bhunter/hacked.log से प्राप्त की जा सकती है

प्रभावशीलता

भुंटर पर काम करते समय, मैं पूरी तरह से अलग-अलग उपकरणों को खोजने और उन तक पहुंच प्राप्त करने में कामयाब रहा: रास्पबेरी पाई, राउटर (विशेष रूप से माइक्रोटिक), वेब सर्वर, और एक बार एक खनन फार्म (दुर्भाग्य से, इस तक पहुंच दिन के दौरान थी, इसलिए कोई दिलचस्प नहीं था) कहानी ). यहां प्रोग्राम का एक स्क्रीनशॉट है, जो कई दिनों के काम के बाद हैक किए गए नोड्स की सूची दिखाता है:

दुर्भाग्य से, इस टूल की प्रभावशीलता मेरी अपेक्षाओं तक नहीं पहुंची: भुंटर बिना सफलता के कई दिनों तक नोड्स के लिए पासवर्ड आज़मा सकता है, और कुछ घंटों में कई लक्ष्यों को हैक कर सकता है। लेकिन यह नए बॉटनेट नमूनों की नियमित आमद के लिए पर्याप्त है।

प्रभावशीलता ऐसे मापदंडों से प्रभावित होती है जैसे: वह देश जिसमें भुंटर वाला सर्वर स्थित है, होस्टिंग, और वह सीमा जहां से आईपी पता आवंटित किया जाता है। मेरे अनुभव में, एक ऐसा मामला था जब मैंने एक होस्टर से दो वर्चुअल सर्वर किराए पर लिए थे, और उनमें से एक पर बॉटनेट द्वारा 2 गुना अधिक बार हमला किया गया था।

बग जिन्हें मैंने अभी तक ठीक नहीं किया है

संक्रमित होस्ट पर हमला करते समय, कुछ स्थितियों में यह स्पष्ट रूप से निर्धारित करना संभव नहीं है कि पासवर्ड सही है या नहीं। ऐसे मामले /var/log/debug.log फ़ाइल में लॉग किए जाते हैं।

पैरामिको मॉड्यूल, जिसका उपयोग एसएसएच के साथ काम करने के लिए किया जाता है, कभी-कभी गलत तरीके से व्यवहार करता है: जब यह इससे कनेक्ट करने का प्रयास करता है तो यह होस्ट से प्रतिक्रिया की अंतहीन प्रतीक्षा करता है। मैंने टाइमर के साथ प्रयोग किया, लेकिन वांछित परिणाम नहीं मिला

और किस चीज़ पर काम करने की ज़रूरत है?

सेवा का नाम

RFC-4253 के अनुसार, क्लाइंट और सर्वर इंस्टॉलेशन से पहले SSH प्रोटोकॉल को लागू करने वाली सेवाओं के नामों का आदान-प्रदान करते हैं। यह नाम "सेवा नाम" फ़ील्ड में निहित है, जो क्लाइंट पक्ष से अनुरोध और सर्वर पक्ष से प्रतिक्रिया दोनों में शामिल है। फ़ील्ड एक स्ट्रिंग है, और इसका मान वायरशार्क या एनएमएपी का उपयोग करके पाया जा सकता है। यहां ओपनएसएसएच के लिए एक उदाहरण दिया गया है:

$ nmap -p 22 ***.**.***.** -sV
Starting Nmap ...
PORT   STATE SERVICE VERSION
22/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protocol 2.0)
Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

हालाँकि, पैरामिको के मामले में, इस फ़ील्ड में "पैरामिको पायथन sshd 2.4.2" जैसी एक स्ट्रिंग शामिल है, जो जाल से "बचने" के लिए डिज़ाइन किए गए बॉटनेट को डरा सकती है। इसलिए, मुझे लगता है कि इस पंक्ति को किसी अधिक तटस्थ चीज़ से बदलना आवश्यक है।

अन्य वैक्टर

SSH दूरस्थ प्रबंधन का एकमात्र साधन नहीं है। टेलनेट, आरडीपी भी है। उन पर करीब से नज़र डालना उचित है।

विस्तार

विभिन्न देशों में कई जाल रखना और उनमें से लॉगिन, पासवर्ड और हैक किए गए नोड्स को एक सामान्य डेटाबेस में एकत्रित करना बहुत अच्छा होगा।

मैं कहाँ से डाउनलोड कर सकता हूँ?

लेखन के समय, केवल एक परीक्षण संस्करण तैयार है, जिसे यहां से डाउनलोड किया जा सकता है Github पर भंडार.

स्रोत: www.habr.com