מנתחי וירוסים וחוקרי אבטחת מחשבים דוהרים לאסוף כמה שיותר דוגמאות של רשתות בוטים חדשות. הם משתמשים בעציצי דבש למטרותיהם... אבל מה אם אתה רוצה לצפות בתוכנה הזדונית בתנאים אמיתיים? לסכן את השרת או הנתב שלך? מה אם אין מכשיר מתאים? השאלות הללו הן שהניעו אותי ליצור bhunter, כלי להשגת גישה לצמתי בוטנט.

הרעיון המרכזי

ישנן דרכים רבות להפיץ תוכנות זדוניות כדי להרחיב את רשתות הבוטים: מפישינג ועד לניצול פגיעויות של 0 ימים. אבל השיטה הנפוצה ביותר היא עדיין סיסמאות SSH בכוח גס.

הרעיון מאוד פשוט. אם צומת בוטנט כלשהו מנסה להפעיל סיסמאות גסות עבור השרת שלך, סביר להניח שהצומת הזה עצמו נלכד על ידי סיסמאות פשוטות לאלץ גסות. זה אומר שכדי לקבל גישה אליו, אתה רק צריך להשיב.

זה בדיוק איך bhunter עובד. מאזין לפורט 22 (שירות SSH) ואוסף את כל הכניסות והסיסמאות שאיתם מנסים להתחבר אליה. לאחר מכן, באמצעות הסיסמאות שנאספו, הוא מנסה להתחבר לצמתים תוקפים.

אלגוריתם של עבודה

ניתן לחלק את התוכנית ל-2 חלקים עיקריים, הפועלים בשרשורים נפרדים. הראשון הוא סיר דבש. מעבד ניסיונות כניסה, אוסף כניסות וסיסמאות ייחודיות (במקרה זה, צמד הכניסה + סיסמא נחשב כמכלול אחד), וכן מוסיף כתובות IP שניסו להתחבר לתור להתקפה נוספת.

החלק השני אחראי ישירות למתקפה. יתרה מכך, המתקפה מתבצעת בשני מצבים: BurstAttack (מתקפה מתפרצת) - כניסות וסיסמאות של כוח גס מהרשימה הכללית ו-SingleShotAttack (התקפת ירייה בודדת) - סיסמאות כוח גס ששימשו את הצומת המותקף, אך טרם הועברו נוסף לרשימה הכללית.

על מנת שיהיה לפחות מסד נתונים של כניסות וסיסמאות מיד לאחר ההשקה, bhunter מאותחל עם רשימה מהקובץ /etc/bhunter/defaultLoginPairs.

ממשק

ישנן מספר דרכים להשיק את bhunter:

רק כצוות

sudo bhunter

בהשקה זו, ניתן לשלוט ב-bhunter דרך תפריט הטקסט שלו: הוספת כניסות וסיסמאות להתקפה, ייצוא מסד נתונים של כניסות וסיסמאות, ציין יעד להתקפה. ניתן לראות את כל הצמתים שנפרצו בקובץ /var/log/bhunter/hacked.log

באמצעות tmux

sudo bhunter-ts # команда запуска bhunter через tmux  
sudo tmux attach -t bhunter # подключаемся к сессии, в которой запущен bhunter

Tmux הוא מרבב טרמינלי, כלי נוח מאוד. מאפשר לך ליצור מספר חלונות בתוך מסוף אחד, ולפצל את החלונות ללוחות. באמצעותו, תוכל לצאת מהטרמינל ולאחר מכן להיכנס מבלי להפריע לתהליכים הפועלים.

הסקריפט bhunter-ts יוצר הפעלת tmux ומפצל את החלון לשלושה פאנלים. הראשון, הגדול ביותר, מכיל תפריט טקסט. החלק הימני העליון מכיל יומני סיר הדבש, כאן תוכלו לראות הודעות על ניסיונות להיכנס לסיר הדבש. החלונית הימנית התחתונה מציגה מידע על התקדמות המתקפה על צמתי בוטנט ועל פריצות מוצלחות.

היתרון של שיטה זו על פני הראשונה הוא שאנו יכולים לסגור את הטרמינל בבטחה ולחזור אליו מאוחר יותר, מבלי ש-bhunter יפסיק את עבודתו. למי שמכיר מעט את tmux, אני מציע דף הצ'יטים הזה.

בתור שירות

systemctl enable bhunter
systemctl start bhunter

במקרה זה, אנו מאפשרים הפעלה אוטומטית של bhunter בעת הפעלת המערכת. בשיטה זו, אינטראקציה עם bhunter אינה מסופקת, וניתן לקבל את רשימת הצמתים שנפרצו מ-/var/log/bhunter/hacked.log

אפקטיביות

תוך כדי עבודה על bhunter, הצלחתי למצוא ולהשיג גישה למכשירים שונים לגמרי: raspberry pi, נתבים (במיוחד mikrotik), שרתי אינטרנט ופעם חוות כרייה (לצערי, הגישה אליה הייתה במהלך היום, כך שלא היה מעניין סיפור). להלן צילום מסך של התוכנית, המציגה רשימה של צמתים פרוצים לאחר מספר ימי עבודה:

לרוע המזל, האפקטיביות של הכלי הזה לא הגיעה לציפיות שלי: bhunter יכול לנסות סיסמאות לצמתים במשך מספר ימים ללא הצלחה, ויכול לפרוץ מספר יעדים תוך כמה שעות. אבל זה מספיק לזרימה קבועה של דגימות בוטנט חדשות.

האפקטיביות מושפעת מפרמטרים כמו: המדינה בה נמצא השרת עם bhunter, אירוח והטווח שממנו מוקצית כתובת ה-IP. מניסיוני, היה מקרה ששכרתי שני שרתים וירטואליים מארח אחד, ואחד מהם הותקף על ידי רשתות בוטים בתדירות גבוהה פי 2.

באגים שעדיין לא תיקנתי

כאשר תוקפים מארחים נגועים, במצבים מסוימים לא ניתן לקבוע באופן חד משמעי אם הסיסמה נכונה או לא. מקרים כאלה נרשמים בקובץ /var/log/debug.log.

מודול Paramiko, המשמש לעבודה עם SSH, מתנהג לפעמים בצורה לא נכונה: הוא ממתין בלי סוף לתגובה מהמארח כאשר הוא מנסה להתחבר אליו. התנסיתי בטיימרים, אך לא קיבלתי את התוצאה הרצויה

על מה עוד צריך לעבוד?

שם השירות

לפי RFC-4253, הלקוח והשרת מחליפים שמות של שירותים שמיישמים את פרוטוקול SSH לפני ההתקנה. שם זה כלול בשדה "SERVICE NAME", הכלול גם בבקשה מצד הלקוח וגם בתגובה מצד השרת. השדה הוא מחרוזת, וניתן למצוא את הערך שלו באמצעות wireshark או nmap. הנה דוגמה עבור OpenSSH:

$ nmap -p 22 ***.**.***.** -sV
Starting Nmap ...
PORT   STATE SERVICE VERSION
22/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protocol 2.0)
Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

עם זאת, במקרה של Paramiko, שדה זה מכיל מחרוזת כמו "Paramiko Python sshd 2.4.2", שיכולה להפחיד רשתות בוטים שנועדו "להימנע" ממלכודות. לכן, אני חושב שיש צורך להחליף את הקו הזה במשהו נייטרלי יותר.

וקטורים אחרים

SSH אינו האמצעי היחיד לניהול מרחוק. יש גם telnet, rdp. שווה להסתכל עליהם מקרוב.

הארכה

זה יהיה נהדר שיהיו כמה מלכודות במדינות שונות ולאסוף באופן מרכזי מהם כניסות, סיסמאות וצמתים פרוצים לתוך מסד נתונים משותף

איפה אני יכול להוריד?

בזמן כתיבת שורות אלה מוכנה רק גרסת בדיקה, שניתן להוריד ממנה מאגר ב- Github.

מקור: www.habr.com