{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 hack di nodi di botnet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Gli analisti di virus e i ricercatori di sicurezza informatica cercano di raccogliere il maggior numero possibile di campioni di nuovi botnet. A questo scopo utilizzano honeypot.\u2026 Ma cosa fare se si desidera osservare il malware in condizioni reali? Esporre il proprio server o router al rischio? E se non ci fosse un dispositivo adeguato? \u00c8 proprio queste domande che mi hanno spinto a creare bhunter \u2014 uno strumento per accedere ai nodi delle botnet.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

L'idea principale<\/h1>\n

\nEsistono molti modi per diffondere malware e ampliare le botnet: dal phishing all'utilizzo di vulnerabilit\u00e0 0-day. Ma il metodo pi\u00f9 comune rimane ancora oggi l'attacco brute force alle password SSH.<\/p>\n

L'idea \u00e8 molto semplice. Se da qualche nodo della botnet viene effettuato un brute force contro il tuo server, \u00e8 probabile che quel nodo sia stato stesso compromesso da un attacco brute force su password semplici. Pertanto, per ottenerne l'accesso, \u00e8 sufficiente rispondere con \"una cortesia\".<\/p>\n

\u00c8 proprio cos\u00ec che funziona bhunter. Ascolta sulla porta 22 (servizio SSH) e raccoglie tutti i login e le password con cui si prova a connettersi. Poi, utilizzando le password raccolte, tenta di collegarsi ai nodi degli aggressori.<\/p>\n

Algoritmo di funzionamento<\/h1>\n

\nIl programma pu\u00f2 essere fondamentalmente diviso in 2 parti principali, che funzionano in thread separati. La prima \u00e8 honeypot. Gestisce i tentativi di accesso, raccoglie login e password unici (in questo caso, una coppia login+password \u00e8 considerata come un'unit\u00e0), e aggiunge all'elenco per ulteriori attacchi gli indirizzi IP che hanno tentato di connettersi.<\/p>\n

La seconda parte \u00e8 responsabile dell'attacco stesso. Inoltre, l'attacco avviene in due modalit\u00e0: BurstAttack (attacco a coda) \u2014 attacco con brute force su login e password da un elenco comune e SingleShotAttack (attacco a singoli colpi) \u2014 brute force sulle password utilizzate dal nodo attaccato, ma che non sono ancora state aggiunte all'elenco comune.<\/p>\n

Per avere almeno una base di login e password immediatamente dopo l'avvio, bhunter viene inizializzato con un elenco da un file \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Document<\/h1>\n

\nSono previste diverse modalit\u00e0 di avvio di bhunter:<\/p>\n

Semplicemente con il comando<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nCon questo avvio \u00e8 possibile gestire bhunter attraverso il suo menu testuale: aggiungere nomi utente e password per l'attacco, esportare il database di nomi utente e password, specificare un obiettivo per l'attacco. Tutti i nodi compromessi possono essere visualizzati nel file \/var\/log\/bhunter\/hacked.log<\/p>\n
Utilizzando tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # comando per avviare bhunter tramite tmux  \nsudo tmux attach -t bhunter # ci connettiamo alla sessione in cui \u00e8 avviato bhunter\n<\/code><\/pre>\n
\nTmux \u00e8 un multiplexore terminale, uno strumento molto utile. Consente di creare pi\u00f9 finestre all'interno di un unico terminale e di suddividere le finestre in pannelli. Usandolo, puoi uscire dal terminale e poi rientrare senza interrompere i processi in esecuzione. <\/p>\n
Lo script bhunter-ts crea una sessione tmux e suddivide la finestra in tre pannelli. Nel primo \u2014 il pi\u00f9 grande, si trova il menu testuale. Il pannello in alto a destra contiene i log dell'honeypot, dove \u00e8 possibile vedere i messaggi sui tentativi di accesso all'honeypot. Nel pannello in basso a destra viene visualizzata l'informazione sul progresso dell'attacco ai nodi delle botnet e sugli hack riusciti.<\/p>\n
Il vantaggio di questo metodo rispetto al primo \u00e8 che possiamo tranquillamente chiudere il terminale e tornare in un secondo momento, con bhunter che continua a funzionare. A chi \u00e8 poco familiare con tmux consiglio  questa guida<\/a><\/noindex>.<\/p>\n
As a service<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nIn questo caso attiviamo l'avvio automatico di bhunter all'avvio del sistema. In questo metodo non \u00e8 previsto l'interazione con bhunter, e l'elenco dei nodi violati pu\u00f2 essere ottenuto da \/var\/log\/bhunter\/hacked.log<\/p>\n
Efficienza<\/h1>\n
\nDurante il mio lavoro su bhunter sono riuscito a trovare e accedere a dispositivi molto diversi: raspberry pi, router (soprattutto mikrotik), server web, e una volta anche a una farm di mining (sfortunatamente l'accesso \u00e8 durato solo un giorno, quindi non ho potuto raccogliere storie interessanti). Ecco uno screenshot del programma, dove si vede l'elenco dei nodi violati dopo alcuni giorni di lavoro:<\/p>\n
\"Bhunter
\n
\nSfortunatamente, l'efficacia di questo strumento non ha soddisfatto le mie aspettative: bhunter pu\u00f2 provare a indovinare le password dei nodi per diversi giorni senza successo, o pu\u00f2 violare pi\u00f9 obiettivi in poche ore. Ma per un afflusso regolare di nuovi campioni di botnet, questo \u00e8 sufficiente.<\/p>\n
L'efficacia \u00e8 influenzata da parametri come: il paese in cui si trova il server con bhunter, l'hosting, e l'intervallo da cui \u00e8 assegnato l'indirizzo IP. Nella mia esperienza, c'\u00e8 stato un caso in cui ho affittato due server virtuali dallo stesso provider, e uno di essi era attaccato da botnet il doppio delle volte.<\/p>\n
Bug che non ho ancora corretto<\/h1>\n
\nDurante l'attacco a nodi infetti, in alcune situazioni non \u00e8 possibile determinare con certezza se la password sia corretta o meno. La registrazione di tali casi viene effettuata nel file \/var\/log\/debug.log.<\/p>\n
Il modulo Paramiko, utilizzato per lavorare con SSH, a volte si comporta in modo errato: entra in attesa infinita di una risposta dal nodo quando cerca di connettersi. Ho sperimentato con i timer, ma non ho ottenuto il risultato desiderato.<\/p>\n
Su cosa altro bisogna lavorare?<\/h1>\n
<\/p>\n
Nome del servizio<\/h5>\n
\nSecondo l'RFC-4253, il client e il server si scambiano i nomi dei servizi che implementano il protocollo SSH prima dell'installazione. Questo nome \u00e8 contenuto nel campo \"SERVICE NAME\", presente sia nella richiesta del client che nella risposta del server. Il campo rappresenta una stringa e il suo valore pu\u00f2 essere ottenuto utilizzando wireshark o nmap. Ecco un esempio per OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nAvvio di Nmap...\nPORT   STATO SERVIZIO VERSIONE\n22\/tcp aperto  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocollo 2.0)\nNmap completato: 1 indirizzo IP (1 host attivo) scansionato in 0,47 secondi\n<\/code><\/pre>\n
\nTuttavia, nel caso di Paramiko, questo campo contiene una stringa del tipo \"Paramiko Python sshd 2.4.2\", che potrebbe spaventare i botnet, che sono programmati per \"evitare\" trappole. Pertanto, ritengo necessario sostituire questa stringa con qualcosa di pi\u00f9 neutro.<\/p>\n
Altri vettori<\/h5>\n
\nSSH non \u00e8 il solo strumento di gestione remota. Ci sono anche telnet, rdp. Vale la pena darci un'occhiata.<\/p>\n
Estensione<\/h5>\n
\nSarebbe interessante avere alcune trappole in diverse nazioni e raccogliere centralmente login, password e nodi compromessi in un'unica base dati. <\/p>\n
Dove scaricare?<\/h1>\n
\nAl momento della scrittura dell'articolo, \u00e8 disponibile solo una versione di prova, che pu\u00f2 essere scaricata da repository su Github<\/a><\/noindex>.
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 hackiamo nodi di botnet | ProHoster","description":"Gli analisti di virus e i ricercatori di sicurezza informatica cercano di raccogliere il maggior numero possibile di campioni di nuovi botnet.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}