{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 nodi botnet hackabili","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Gli analisti di malware e i ricercatori di sicurezza informatica si sforzano di raccogliere il maggior numero possibile di campioni di nuovi botnet. A tal fine, utilizzano honeypot\u2026 Ma cosa fare se si desidera osservare il malware in condizioni reali? Esporre il proprio server, router? E se non si ha un dispositivo adatto? Sono state queste domande a spingermi alla creazione di bhunter, uno strumento per accedere ai nodi delle reti bot.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

L'idea principale<\/h1>\n

\nEsistono molti modi per diffondere malware e ampliare le botnet: a partire dal phishing fino all'esploitazione di vulnerabilit\u00e0 0-day. Tuttavia, il metodo pi\u00f9 comune rimane ancora l'attacco a forza bruta delle password SSH.<\/p>\n

L'idea \u00e8 molto semplice. Se da un certo nodo della botnet viene effettuato un attacco a forza bruta delle password al tuo server, \u00e8 probabile che quel nodo sia stato a sua volta compromesso tramite la stessa tecnica. Pertanto, per accedervi, \u00e8 sufficiente rispondere con la \"reciprocit\u00e0\".<\/p>\n

Questo \u00e8 precisamente come funziona bhunter. Ascolta la porta 22 (servizio SSH) e raccoglie tutti i login e le password con cui si tenta di connettersi. Successivamente, utilizzando le password raccolte, cerca di connettersi ai nodi degli attaccanti.<\/p>\n

Algoritmo operativo<\/h1>\n

\nIl programma pu\u00f2 essere suddiviso condizionatamente in due parti principali, che operano in thread separati. La prima \u00e8 honeypot. Gestisce i tentativi di accesso, raccoglie login e password unici (in questo caso, la coppia login+password \u00e8 considerata come un'unica entit\u00e0), e aggiunge nella coda per ulteriori attacchi gli indirizzi IP che hanno tentato di connettersi.<\/p>\n

La seconda parte \u00e8 direttamente responsabile dell'attacco. L'attacco viene eseguito in due modalit\u00e0: BurstAttack (attacco in coda) - testando login e password da un elenco generale, e SingleShotAttack (attacco a colpi singoli) - testando le password che sono state utilizzate dal nodo attaccato, ma che non sono ancora state aggiunte all'elenco generale.<\/p>\n

Per avere almeno una base di login e password subito dopo l'avvio, bhunter si inizializza con un elenco da un file \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interfaccia<\/h1>\n

\nSono previsti diversi modi per avviare bhunter:<\/p>\n

Semplicemente con il comando<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nCon questo avvio \u00e8 possibile gestire bhunter tramite il suo menu testuale: aggiungere username e password per l'attacco, esportare il database di username e password, specificare un obiettivo per l'attacco. Tutti i nodi compromessi possono essere visualizzati nel file \/var\/log\/bhunter\/hacked.log<\/p>\n
Usando tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # comando per avviare bhunter tramite tmux  \nsudo tmux attach -t bhunter # ci colleghiamo alla sessione in cui \u00e8 avviato bhunter\n<\/code><\/pre>\n
\nTmux \u00e8 un multiplexore terminale, uno strumento molto utile. Permette di creare pi\u00f9 finestre all'interno di un unico terminale e di suddividere le finestre in pannelli. Usandolo, possiamo uscire dal terminale e rientrare senza interrompere i processi in esecuzione. <\/p>\n
Lo script bhunter-ts crea una sessione tmux e divide la finestra in tre pannelli. Nel primo, il pi\u00f9 grande, si trova il menu testuale. In alto a destra ci sono i log dell'honeypot, dove \u00e8 possibile vedere i messaggi sui tentativi di accesso all'honeypot. Nel pannello in basso a destra viene visualizzata l'informazione sul progresso dell'attacco ai nodi delle reti bot e sui successi delle violazioni.<\/p>\n
Il vantaggio di questo metodo rispetto al primo \u00e8 che possiamo chiudere tranquillamente il terminale e tornare ad esso in seguito, senza interrompere il lavoro di bhunter. A chi \u00e8 poco familiare con tmux consiglio  questo promemoria<\/a><\/noindex>.<\/p>\n
Come servizio<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nIn questo caso, abilitiamo l'avvio automatico di bhunter all'avvio del sistema. In questo metodo non \u00e8 prevista l'interazione con bhunter e l'elenco dei nodi compromessi pu\u00f2 essere ottenuto da \/var\/log\/bhunter\/hacked.log<\/p>\n
Efficienza<\/h1>\n
\nDurante il mio lavoro con bhunter sono riuscito a trovare e accedere a diversi dispositivi: raspberry pi, router (soprattutto mikrotik), server web, e una volta a una fattoria di mining (purtroppo l'accesso \u00e8 durato solo un giorno, quindi non ci sono storie interessanti). Ecco uno screenshot del programma, in cui si vede l'elenco dei nodi compromessi dopo alcuni giorni di lavoro:<\/p>\n
\"Bhunter
\n
\nPurtroppo, l'efficacia di questo strumento non ha soddisfatto le mie aspettative: bhunter pu\u00f2 tentare di indovinare le password dei nodi per diversi giorni senza risultati, mentre pu\u00f2 compromettere diversi obiettivi in poche ore. Ma per un afflusso regolare di nuovi campioni di botnet, \u00e8 sufficiente.<\/p>\n
L'efficacia \u00e8 influenzata da parametri come il paese in cui si trova il server con bhunter, l'hosting e l'intervallo da cui \u00e8 stato assegnato l'indirizzo IP. Dalla mia esperienza, ho avuto un caso in cui ho affittato due server virtuali da un unico provider, e uno di essi era soggetto ad attacchi da parte di botnet due volte pi\u00f9 frequentemente.<\/p>\n
Bug che non ho ancora corretto<\/h1>\n
\nDurante un attacco a nodi compromessi, in alcune situazioni non \u00e8 possibile determinare con certezza se la password sia corretta o meno. La registrazione di tali eventi \u00e8 effettuata nel file \/var\/log\/debug.log.<\/p>\n
Il modulo Paramiko, che viene utilizzato per lavorare con SSH, a volte si comporta in modo errato: va in attesa infinita di una risposta dal nodo quando tenta di connettersi. Ho sperimentato con i timer, ma non ho ottenuto il risultato desiderato.<\/p>\n
Su cosa devo ancora lavorare?<\/h1>\n
<\/p>\n
Nome del servizio<\/h5>\n
\nSecondo l'RFC-4253, il client e il server scambiano i nomi dei servizi che implementano il protocollo SSH prima di stabilire la connessione. Questo nome \u00e8 contenuto nel campo \"SERVICE NAME\", presente sia nella richiesta del client che nella risposta del server. Il campo \u00e8 una stringa, e il suo valore pu\u00f2 essere scoperto utilizzando wireshark o nmap. Ecco un esempio per OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nAvvio Nmap ...\nPORT   STATO SERVIZIO VERSIONE\n22\/tcp aperto  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocollo 2.0)\nNmap completato: 1 indirizzo IP (1 host attivo) scansionato in 0.47 secondi\n<\/code><\/pre>\n
\nTuttavia, nel caso di Paramiko, questo campo contiene una stringa del tipo \u00abParamiko Python sshd 2.4.2\u00bb, che potrebbe spaventare i botnet programmati per \u00abevitare\u00bb trappole. Pertanto, ritengo necessario sostituire questa stringa con qualcosa di pi\u00f9 neutro.<\/p>\n
Altri vettori<\/h5>\n
\nSSH non \u00e8 l'unico mezzo di gestione remota. Ci sono anche telnet e rdp. \u00c8 opportuno considerare anche questi.<\/p>\n
Espansione<\/h5>\n
\nSarebbe utile avere diverse trappole in vari paesi e raccogliere centralmente da esse login, password e nodi compromessi in un'unica base di dati. <\/p>\n
Dove scaricare?<\/h1>\n
\nAl momento della scrittura dell'articolo, \u00e8 disponibile solo una versione di test, che pu\u00f2 essere scaricata da repository su Github<\/a><\/noindex>.
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 nodi di botnet compromessi | ProHoster","description":"Gli analisti di virus e i ricercatori di sicurezza informatica cercano di raccogliere il maggior numero possibile di campioni di nuovi botnet. Per i loro scopi utilizzano honeypot... Ma cosa fare se si desidera osservare il malware in condizioni reali? Esporre il proprio server, router? E se non si ha a disposizione un dispositivo adeguato? \u00c8 a queste domande che ho pensato mentre creavo bhunter, uno strumento per accedere.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot'\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}