바이러스 분석가와 컴퓨터 보안 연구자들은 가능한 한 많은 새로운 봇넷 샘플을 수집하기 위해 경쟁하고 있습니다. 자신들만의 목적으로 허니팟을 사용하는데... 그런데 실제 상황에서 악성코드를 관찰하고 싶다면 어떻게 해야 할까요? 서버나 라우터를 위험에 빠뜨리셨나요? 적합한 장치가 없으면 어떻게 되나요? 봇넷 노드에 액세스하기 위한 도구인 bhunter를 만들게 된 것은 이러한 질문들 때문이었습니다.

중심 사상

봇넷을 확장하기 위해 악성코드를 확산시키는 방법에는 피싱부터 제로데이 취약점 악용까지 다양한 방법이 있습니다. 그러나 가장 일반적인 방법은 여전히 ​​SSH 비밀번호를 무차별 대입하는 것입니다.

아이디어는 매우 간단합니다. 일부 봇넷 노드가 서버에 대한 무차별 암호 대입을 시도하는 경우 이 노드 자체가 무차별 단순 암호에 의해 캡처되었을 가능성이 높습니다. 즉, 액세스하려면 보답하면됩니다.

이것이 바로 bhunter가 작동하는 방식입니다. 포트 22(SSH 서비스)를 수신하고 연결을 시도하는 모든 로그인 및 비밀번호를 수집합니다. 그리고 수집된 비밀번호를 이용해 공격 노드에 연결을 시도한다.

작업 알고리즘

프로그램은 별도의 스레드에서 작동하는 2개의 주요 부분으로 나눌 수 있습니다. 첫 번째는 허니팟이다. 로그인 시도를 처리하고 고유한 로그인 및 비밀번호(이 경우 로그인 + 비밀번호 쌍은 하나의 전체로 간주됨)를 수집하며 추가 공격을 위해 연결을 시도한 IP 주소를 대기열에 추가합니다.

두 번째 부분은 공격을 직접 담당합니다. 또한 공격은 두 가지 모드로 수행됩니다. BurstAttack(버스트 공격) - 일반 목록의 무차별 로그인 및 비밀번호와 SingleShotAttack(단일 공격) - 공격받은 노드에서 사용되었지만 아직 사용되지 않은 무차별 비밀번호 일반 목록에 추가되었습니다.

시작 직후 최소한 일부 로그인 및 비밀번호 데이터베이스를 확보하기 위해 bhunter는 /etc/bhunter/defaultLoginPairs 파일의 목록으로 초기화됩니다.

인터페이스

bhunter를 시작하는 방법에는 여러 가지가 있습니다:

팀으로서

sudo bhunter

이번 출시를 통해 텍스트 메뉴를 통해 bhunter를 제어할 수 있습니다. 즉, 공격에 대한 로그인 및 비밀번호 추가, 로그인 및 비밀번호 데이터베이스 내보내기, 공격 대상 지정 등이 가능합니다. 해킹된 모든 노드는 /var/log/bhunter/hacked.log 파일에서 볼 수 있습니다.

tmux 사용

sudo bhunter-ts # команда запуска bhunter через tmux  
sudo tmux attach -t bhunter # подключаемся к сессии, в которой запущен bhunter

Tmux는 매우 편리한 도구인 터미널 멀티플렉서입니다. 하나의 터미널 내에 여러 개의 창을 만들고 창을 패널로 분할할 수 있습니다. 이를 사용하면 실행 중인 프로세스를 중단하지 않고 터미널을 종료한 다음 로그인할 수 있습니다.

bhunter-ts 스크립트는 tmux 세션을 생성하고 창을 세 개의 패널로 분할합니다. 가장 큰 첫 번째 메뉴에는 텍스트 메뉴가 포함되어 있습니다. 오른쪽 상단에는 허니팟 로그가 포함되어 있으며, 여기에서 허니팟에 로그인하려는 시도에 대한 메시지를 볼 수 있습니다. 오른쪽 하단 패널에는 봇넷 노드에 대한 공격 진행 상황과 성공적인 해킹에 대한 정보가 표시됩니다.

첫 번째 방법에 비해 이 방법의 장점은 Bhunter가 작업을 중단하지 않고도 터미널을 안전하게 닫고 나중에 다시 돌아올 수 있다는 것입니다. tmux에 대해 잘 모르는 사람들에게 제안합니다. 이 치트 시트.

서비스로

systemctl enable bhunter
systemctl start bhunter

이 경우 시스템 시작 시 bhunter 자동 시작을 활성화합니다. 이 방법에서는 bhunter와의 상호작용이 제공되지 않으며, 해킹된 노드 목록은 /var/log/bhunter/hacked.log에서 얻을 수 있습니다.

효과

bhunter에서 작업하는 동안 저는 라즈베리 파이, 라우터(특히 mikrotik), 웹 서버, 한때 채굴장(안타깝게도 액세스는 낮 동안에 이루어졌기 때문에 흥미롭지 않음) 등 완전히 다른 장치를 찾아 액세스할 수 있었습니다. 이야기). 다음은 며칠 간의 작업 후 해킹된 노드 목록을 보여주는 프로그램의 스크린샷입니다.

불행하게도 이 도구의 효과는 기대에 미치지 못했습니다. bhunter는 며칠 동안 노드에 대한 암호를 시도할 수 있지만 성공하지 못할 수 있으며 몇 시간 안에 여러 대상을 해킹할 수 있습니다. 그러나 이는 새로운 봇넷 샘플이 정기적으로 유입되기에는 충분합니다.

효율성은 bhunter가 있는 서버가 위치한 국가, 호스팅 및 IP 주소가 할당되는 범위와 같은 매개변수의 영향을 받습니다. 제 경험상 한 호스팅 업체에서 두 대의 가상 서버를 임대했는데 그 중 한 대가 봇넷 공격을 2배 더 자주 받은 경우가 있었습니다.

아직 고치지 못한 버그들

감염된 호스트를 공격할 때 어떤 상황에서는 비밀번호가 올바른지 여부를 명확하게 판단하는 것이 불가능합니다. 이러한 경우는 /var/log/debug.log 파일에 기록됩니다.

SSH와 함께 작동하는 데 사용되는 Paramiko 모듈은 때때로 잘못 동작합니다. 호스트에 연결을 시도할 때 끝없이 호스트의 응답을 기다립니다. 타이머를 실험했지만 원하는 결과를 얻지 못했습니다.

또 어떤 작업이 필요합니까?

서비스 이름

RFC-4253에 따르면 클라이언트와 서버는 설치 전에 SSH 프로토콜을 구현하는 서비스의 이름을 교환합니다. 이 이름은 클라이언트측 요청과 서버측 응답 모두에 포함된 "SERVICE NAME" 필드에 포함되어 있습니다. 필드는 문자열이며 해당 값은 Wireshark 또는 nmap을 사용하여 찾을 수 있습니다. OpenSSH의 예는 다음과 같습니다.

$ nmap -p 22 ***.**.***.** -sV
Starting Nmap ...
PORT   STATE SERVICE VERSION
22/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protocol 2.0)
Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

그러나 Paramiko의 경우 이 필드에는 "Paramiko Python sshd 2.4.2"와 같은 문자열이 포함되어 있어 트랩을 "피"하도록 설계된 봇넷을 쫓아낼 수 있습니다. 따라서 이 라인을 좀 더 중립적인 라인으로 교체하는 것이 필요하다고 생각합니다.

다른 벡터

SSH가 원격 관리의 유일한 수단은 아닙니다. 텔넷, rdp도 있습니다. 자세히 살펴볼 가치가 있습니다.

신장

여러 국가에 여러 개의 트랩을 두고 그 트랩에서 로그인, 비밀번호, 해킹된 노드를 중앙에서 공통 데이터베이스로 수집하면 좋을 것입니다.

어디에서 다운로드할 수 있습니까?

이 글을 쓰는 시점에는 테스트 버전만 준비되어 있으며 다음에서 다운로드할 수 있습니다. Github의 저장소.

출처 : habr.com