AnyDesk의 사례를 통해 네트워크를 통한 원격 컴퓨터 제어를 위한 애플리케이션 차단 가능성 분석

어느 날 상사가 "왜 일부 사람들은 추가 사용 권한도 받지 않고 업무용 컴퓨터에 원격으로 액세스하는 걸까요?"라고 질문했습니다.
허점을 "닫는"작업이 발생합니다.

Chrome 원격 데스크톱, AmmyAdmin, LiteManager, TeamViewer, Anyplace Control 등 네트워크를 통한 원격 제어를 위한 다양한 애플리케이션이 있습니다. Chrome 원격 데스크톱에 서비스 액세스를 방지하기 위한 공식 매뉴얼이 있는 경우 TeamViewer에는 시간 또는 요청에 대한 라이선스 제한이 있습니다. 네트워크에서 사용자는 어떤 식으로든 "이를 갈고" 관리자에게 "빛나고" 개인 용도로 많은 사람들이 선호하는 것입니다. AnyDesk는 특히 상사가 "아니요!"라고 말한 경우 특별한 주의가 필요합니다.

콘텐츠로 네트워크 패킷을 차단하는 것이 무엇인지 알고 이에 만족한다면 나머지 자료는
의도하지 않은 당신을 위해.

사실은 반대로 가려고 노력 중 온라인으로 프로그램이 작동하려면 무엇이 허용되어야 하는지 알려주므로, 이에 따라 DNS 레코드가 차단되었습니다. *.net.anydesk.com. 그러나 AnyDesk는 간단하지 않으며 도메인 이름 차단에 신경 쓰지 않습니다.

옛날에 어떤 의심스러운 소프트웨어로 찾아온 "Anyplace Control" 차단 문제를 해결했는데, IP 몇 개만 차단하면 해결되었습니다(백신을 백업해 두었습니다). AnyDesk의 문제는 XNUMX개가 넘는 IP 주소를 수동으로 수집한 후, 나한테 부추겼어 일상적인 육체 노동에서 벗어나세요.

또한 "C:ProgramDataAnyDesk"에는 설정 등이 포함된 파일이 여러 개 있는 것으로 밝혀졌으며, 해당 파일에는 ad_svc.trace 연결 및 실패에 대한 이벤트가 수집됩니다.

1. 관측

이미 언급했듯이 *.anydesk.com을 차단해도 프로그램 작동에 아무런 결과가 나오지 않았으므로 분석하기로 결정했습니다. 스트레스가 많은 상황에서의 프로그램 행동. Sysinternals의 TCPView를 손에 들고 이동하세요!

1.1. 우리가 관심을 갖는 여러 프로세스가 "중단"되어 있으며 외부에서 주소와 통신하는 프로세스만이 우리의 관심을 끄는 것을 볼 수 있습니다. 연결되는 포트는 내가 본 것 중에서 선택됩니다: 80, 443, 6568. 🙂 우리는 확실히 80과 443을 차단할 수 없습니다.

1.2. 라우터를 통해 해당 주소를 차단한 후 조용히 다른 주소를 선택합니다.

1.3. 콘솔은 우리의 전부입니다! 우리는 PID를 결정한 후 AnyDesk가 서비스에 의해 설치되어 운이 좋았으므로 우리가 찾고 있던 PID가 유일한 PID였습니다.
1.4. 프로세스 PID로부터 서비스 서버의 IP 주소를 결정합니다.

2. 준비

IP 주소 식별 프로그램은 아마도 내 PC에서만 작동할 것이기 때문에 편의성과 게으름에 대한 제한이 없으므로 C#을 사용합니다.

2.1. 필요한 IP 주소를 식별하는 모든 방법은 이미 알려져 있으며 아직 구현되지 않았습니다.

string pid1_;//узнаем PID сервиса AnyDesk
using (var p = new Process()) 
{p.StartInfo.FileName = "cmd.exe";
 p.StartInfo.Arguments = " /c "tasklist.exe /fi "imagename eq AnyDesk.exe" /NH /FO CsV | findstr "Services""";
 p.StartInfo.UseShellExecute = false;
 p.StartInfo.RedirectStandardOutput = true;
 p.StartInfo.CreateNoWindow = true;
 p.StartInfo.StandardOutputEncoding = Encoding.GetEncoding("CP866");
 p.Start();
 string output = p.StandardOutput.ReadToEnd();
 string[] pid1 = output.Split(',');//переводим ответ в массив
 pid1_ = pid1[1].Replace(""", "");//берем 2й элемент без кавычек
}

마찬가지로 연결을 설정한 서비스를 찾아 메인 회선만 제공하겠습니다.

p.StartInfo.Arguments = "/c " netstat  -n -o | findstr /I " + pid1_ + " | findstr "ESTABLISHED""";

그 결과는 다음과 같습니다:

이전 단계와 유사하게 행에서 세 번째 열을 추출하고 ":" 뒤의 모든 항목을 제거합니다. 결과적으로 우리는 원하는 IP를 갖게 되었습니다.

2.2. Windows에서 IP 차단. Linux에 Blackhole과 iptables가 있는 경우 Windows에서 방화벽을 사용하지 않고 IP 주소를 한 줄로 차단하는 방법은 특이한 것으로 나타났습니다.
그런데 거기에 어떤 도구가 있었는지...

route add наш_найденный_IP_адрес mask 255.255.255.255 10.113.113.113 if 1 -p

주요 매개변수 "1이면" 경로를 루프백으로 보냅니다(경로 인쇄를 실행하여 사용 가능한 인터페이스를 표시할 수 있습니다). 그리고 중요! 이제 프로그램을 시작해야 합니다. 관리자 권한으로, 경로를 변경하려면 고도가 필요하기 때문입니다.

2.3. 식별된 IP 주소를 표시하고 저장하는 것은 간단한 작업이므로 설명이 필요하지 않습니다. 생각해보면 파일을 처리하면 되겠죠 ad_svc.trace AnyDesk 자체는 그런데 당장 생각은 안 나고 + 한계가 있을 수도 있겠네요.

2.4. 프로그램의 이상한 고르지 못한 동작은 Windows 10에서 서비스 프로세스를 "작업 종료"할 때 자동으로 다시 시작되고 Windows 8에서는 종료되어 콘솔 프로세스만 남기고 다시 연결하지 않고 일반적으로 비논리적이고 부정확하다는 것입니다.

서버에 연결된 프로세스를 제거하면 다음 주소로 "강제" 다시 연결할 수 있습니다. 이전 명령과 동일한 방식으로 구현되므로 다음과 같이 설명하겠습니다.

p.StartInfo.Arguments = "/c taskkill /PID " + pid1_ + " /F";

또한 AnyDesk 프로그램을 시작하십시오.

 //запускаем программу которая расположена по пути path_pro
if (File.Exists(path_pro)){ 
Process p1 = Process.Start(path_pro);}

2.5. 우리는 AnyDesk의 상태를 1분에 한 번씩(또는 더 자주?) 확인하고 연결되어 있는지 확인합니다. 연결 설정됨 - 이 IP를 차단하고 다시 한번 반복합니다. 연결될 때까지 기다렸다가 차단하고 기다립니다.

3. 공격

코드를 "스케치"하고 프로세스를 시각화하기로 결정했습니다."+"는 발견되어 차단된 IP를 나타내며, "."—AnyDesk에서 성공적인 이웃 연결 없이 확인을 반복합니다.

→ 프로젝트 코드

결과적으로…

이 프로그램은 AnyDesk 5 및 6 버전의 다양한 Windows OS를 사용하는 여러 컴퓨터에서 작동했습니다. 500회 이상 반복하여 약 80개의 주소가 수집되었습니다. 2500 - 87 등...

시간이 지남에 따라 차단된 IP 수가 100개 이상에 도달했습니다.

최종 링크 텍스트 파일 주소: 시간 и два

끝났습니다! IP 주소 풀은 스크립트를 통해 기본 라우터의 규칙에 추가되었으며 AnyDesk는 외부 연결을 만들 수 없습니다.

이상한 점이 있습니다. 초기 로그를 보면 해당 주소가 정보 전송과 관련되어 있다는 것이 분명합니다. boot-01.net.anydesk.com. 물론, 우리는 원칙적으로 모든 *.net.anydesk.com 호스트를 차단했지만 그게 이상한 일은 아닙니다. 다른 컴퓨터에서 정상적인 핑을 보낼 때마다 이 도메인 이름은 다른 IP를 제공합니다. Linux에서 확인 중:

host boot-01.net.anydesk.com

DNSLookup과 마찬가지로 하나의 IP 주소만 제공하지만 이 주소는 가변적입니다. TCPView 연결을 분석할 때 다음 유형의 IP 주소에 대한 PTR 레코드가 반환됩니다. 릴레이-*.net.anydesk.com.

이론적으로: 핑은 때때로 알려지지 않은 차단되지 않은 호스트로 이동하기 때문에 boot-01.net.anydesk.com 우리는 이러한 IP를 찾아서 차단할 수 있으며, 이 구현을 Linux OS에서 일반 스크립트로 만들 수 있습니다. 여기서는 AnyDesk를 설치할 필요가 없습니다. 분석 결과 이러한 IP는 종종 "교차하다"우리 목록에서 찾은 것과 함께. 아마도 프로그램이 알려진 IP를 "정렬"하기 시작하기 전에 연결하는 것은 바로 이 호스트일 것입니다. 현재로서는 호스트 검색의 두 번째 부분으로 기사를 나중에 보완할 것입니다. 프로그램 자체는 일반적으로 네트워크 외부 조인 내에 설치되지 않습니다.

위의 내용에서 불법적인 내용을 보지 않으셨기를 바라며, AnyDesk 제작자는 저의 행동을 스포츠맨다운 방식으로 처리해 주시기를 바랍니다.

출처 : habr.com