व्हायरस विश्लेषक आणि संगणक सुरक्षा संशोधक नवीन बॉटनेटचे शक्य तितके नमुने गोळा करण्यासाठी धावत आहेत. ते त्यांच्या स्वतःच्या हेतूंसाठी हनीपॉट्स वापरतात... पण तुम्हाला वास्तविक परिस्थितीत मालवेअरचे निरीक्षण करायचे असल्यास काय? तुमचा सर्व्हर किंवा राउटर धोक्यात घालायचा? योग्य साधन नसल्यास काय करावे? या प्रश्नांनीच मला बॉटनेट नोड्समध्ये प्रवेश मिळवण्यासाठी एक साधन, भंटर तयार करण्यास प्रवृत्त केले.

मुख्य कल्पना

बॉटनेटचा विस्तार करण्यासाठी मालवेअर पसरवण्याचे अनेक मार्ग आहेत: फिशिंगपासून ते 0-दिवसांच्या भेद्यतेचे शोषण करण्यापर्यंत. परंतु सर्वात सामान्य पद्धत अजूनही क्रूट-फोर्सिंग SSH पासवर्ड आहे.

कल्पना अगदी सोपी आहे. काही बॉटनेट नोड तुमच्या सर्व्हरसाठी पासवर्ड ब्रूट-फोर्स करण्याचा प्रयत्न करत असल्यास, बहुधा हा नोड स्वतः ब्रूट-फोर्सिंग सोप्या पासवर्डद्वारे कॅप्चर केला गेला असेल. याचा अर्थ असा आहे की त्यात प्रवेश मिळविण्यासाठी, आपल्याला फक्त प्रतिपूर्ती करणे आवश्यक आहे.

भंटर नेमके हेच काम करते. पोर्ट 22 (SSH सेवा) ऐकतो आणि सर्व लॉगिन आणि पासवर्ड गोळा करतो ज्यासह ते कनेक्ट करण्याचा प्रयत्न करतात. मग, गोळा केलेले पासवर्ड वापरून, ते अटॅक नोड्सशी कनेक्ट करण्याचा प्रयत्न करते.

कार्य अल्गोरिदम

प्रोग्रामला 2 मुख्य भागांमध्ये विभागले जाऊ शकते, जे स्वतंत्र थ्रेडमध्ये कार्य करतात. पहिला हनीपॉट आहे. लॉगिन प्रयत्नांवर प्रक्रिया करते, अनन्य लॉगिन आणि पासवर्ड गोळा करते (या प्रकरणात, लॉगिन + पासवर्डची जोडी एकच समजली जाते), आणि पुढील हल्ल्यासाठी रांगेशी कनेक्ट करण्याचा प्रयत्न करणारे IP पत्ते देखील जोडतात.

दुसरा भाग हल्ल्यासाठी थेट जबाबदार आहे. शिवाय, हल्ला दोन पद्धतींमध्ये केला जातो: बर्स्ट अटॅक (बर्स्ट अटॅक) - ब्रूट फोर्स लॉगिन आणि सामान्य यादीतील पासवर्ड आणि सिंगलशॉट अटॅक (सिंगल शॉट अटॅक) - ब्रूट फोर्स पासवर्ड जे हल्ला केलेल्या नोडद्वारे वापरले गेले होते, परंतु अद्याप आलेले नाहीत. सर्वसाधारण यादीत जोडले.

लाँच झाल्यानंतर लगेच लॉगिन आणि पासवर्डचा किमान काही डेटाबेस असण्यासाठी, bhunter ला /etc/bhunter/defaultLoginPairs या फाईलमधील सूचीसह प्रारंभ केला जातो.

संवाद

भंटर लाँच करण्याचे अनेक मार्ग आहेत:

फक्त एक संघ म्हणून

sudo bhunter

या लाँचसह, त्याच्या मजकूर मेनूद्वारे भंटर नियंत्रित करणे शक्य आहे: आक्रमणासाठी लॉगिन आणि पासवर्ड जोडा, लॉगिन आणि पासवर्डचा डेटाबेस निर्यात करा, हल्ल्यासाठी लक्ष्य निर्दिष्ट करा. सर्व हॅक केलेले नोड्स /var/log/bhunter/hacked.log फाइलमध्ये पाहिले जाऊ शकतात

tmux वापरणे

sudo bhunter-ts # команда запуска bhunter через tmux  
sudo tmux attach -t bhunter # подключаемся к сессии, в которой запущен bhunter

Tmux एक टर्मिनल मल्टिप्लेक्सर आहे, एक अतिशय सोयीस्कर साधन आहे. तुम्हाला एका टर्मिनलमध्ये अनेक विंडो तयार करण्याची आणि पटलांमध्ये विंडो विभाजित करण्याची अनुमती देते. त्याचा वापर करून, तुम्ही टर्मिनलमधून बाहेर पडू शकता आणि नंतर चालू असलेल्या प्रक्रियेमध्ये व्यत्यय न आणता लॉग इन करू शकता.

bhunter-ts स्क्रिप्ट एक tmux सत्र तयार करते आणि विंडोला तीन पॅनेलमध्ये विभाजित करते. पहिल्या, सर्वात मोठ्या, मजकूर मेनू समाविष्टीत आहे. वरच्या उजव्या बाजूला हनीपॉट लॉग आहेत, येथे तुम्ही हनीपॉटमध्ये लॉग इन करण्याच्या प्रयत्नांबद्दलचे संदेश पाहू शकता. खालचा उजवा पॅनेल बोटनेट नोड्सवरील हल्ल्याच्या प्रगतीबद्दल आणि यशस्वी हॅकबद्दल माहिती प्रदर्शित करतो.

पहिल्यापेक्षा या पद्धतीचा फायदा असा आहे की आपण टर्मिनल सुरक्षितपणे बंद करू शकतो आणि नंतर त्याचे काम न थांबवता त्याच्याकडे परत येऊ शकतो. ज्यांना tmux ची थोडीशी ओळख आहे त्यांच्यासाठी मी सुचवितो ही फसवणूक पत्रक.

सेवा म्हणून

systemctl enable bhunter
systemctl start bhunter

या प्रकरणात, आम्ही सिस्टम स्टार्टअपवर bhunter autostart सक्षम करतो. या पद्धतीत, bhunter सोबत संवाद प्रदान केला जात नाही, आणि हॅक केलेल्या नोड्सची यादी /var/log/bhunter/hacked.log वरून मिळवता येते.

परिणामकारकता

भुंटरवर काम करत असताना, मी पूर्णपणे भिन्न उपकरणे शोधण्यात आणि त्यात प्रवेश मिळवण्यात व्यवस्थापित केले: रास्पबेरी पाई, राउटर (विशेषतः मिक्रोटिक), वेब सर्व्हर आणि एकदा खाणकाम (दुर्दैवाने, त्यात प्रवेश दिवसा होता, त्यामुळे तेथे काही मनोरंजक नव्हते. कथा). येथे प्रोग्रामचा स्क्रीनशॉट आहे, जो बर्याच दिवसांच्या कामानंतर हॅक केलेल्या नोड्सची सूची दर्शवितो:

दुर्दैवाने, या साधनाची परिणामकारकता माझ्या अपेक्षेपर्यंत पोहोचली नाही: bunter अनेक दिवस यशस्वी न होता नोड्सवर पासवर्ड वापरून पाहू शकतो आणि काही तासांत अनेक लक्ष्य हॅक करू शकतो. परंतु नवीन बोटनेट नमुन्यांच्या नियमित प्रवाहासाठी हे पुरेसे आहे.

परिणामकारकता अशा पॅरामीटर्सद्वारे प्रभावित होते जसे: ज्या देशात भंटरसह सर्व्हर स्थित आहे, होस्टिंग आणि ज्या श्रेणीतून IP पत्ता वाटप केला गेला आहे. माझ्या अनुभवात, मी एका होस्टरकडून दोन व्हर्च्युअल सर्व्हर भाड्याने घेतले होते आणि त्यापैकी एकावर 2 वेळा अधिक वेळा बोटनेटने हल्ला केला होता.

मी अद्याप निराकरण केलेले नाही दोष

संक्रमित यजमानांवर हल्ला करताना, काही परिस्थितींमध्ये संकेतशब्द बरोबर आहे की नाही हे स्पष्टपणे निर्धारित करणे शक्य नसते. अशी प्रकरणे /var/log/debug.log फाइलमध्ये लॉग इन केली जातात.

पॅरामिको मॉड्यूल, जे SSH सह कार्य करण्यासाठी वापरले जाते, कधीकधी चुकीचे वागते: जेव्हा ते त्याच्याशी कनेक्ट करण्याचा प्रयत्न करते तेव्हा ते होस्टच्या प्रतिसादाची अविरतपणे प्रतीक्षा करते. मी टाइमरसह प्रयोग केले, परंतु इच्छित परिणाम मिळाला नाही

आणखी कशावर काम करण्याची गरज आहे?

सेवा नाव

RFC-4253 नुसार, क्लायंट आणि सर्व्हर सेवांच्या नावांची देवाणघेवाण करतात जे स्थापनेपूर्वी SSH प्रोटोकॉल लागू करतात. हे नाव "SERVICE NAME" फील्डमध्ये समाविष्ट आहे, क्लायंटच्या विनंतीमध्ये आणि सर्व्हरच्या बाजूच्या प्रतिसादात समाविष्ट आहे. फील्ड एक स्ट्रिंग आहे, आणि त्याचे मूल्य वायरशार्क किंवा nmap वापरून शोधले जाऊ शकते. OpenSSH साठी येथे एक उदाहरण आहे:

$ nmap -p 22 ***.**.***.** -sV
Starting Nmap ...
PORT   STATE SERVICE VERSION
22/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2</b> (protocol 2.0)
Nmap done: 1 IP address (1 host up) scanned in 0.47 seconds

तथापि, Paramiko च्या बाबतीत, या फील्डमध्ये “Paramiko Python sshd 2.4.2” सारखी एक स्ट्रिंग आहे, जी सापळे “टाळण्यासाठी” तयार केलेल्या बोटनेटला घाबरवू शकते. म्हणून, मला वाटते की ही ओळ अधिक तटस्थपणे बदलणे आवश्यक आहे.

इतर वेक्टर

एसएसएच हे दूरस्थ व्यवस्थापनाचे एकमेव साधन नाही. टेलनेट, आरडीपी देखील आहे. त्यांना जवळून पाहण्यासारखे आहे.

विस्तार

वेगवेगळ्या देशांमध्ये अनेक सापळे असणे आणि त्यांच्याकडून लॉगिन, पासवर्ड आणि हॅक केलेले नोड्स एका सामान्य डेटाबेसमध्ये एकत्रित करणे चांगले होईल.

मी कुठे डाउनलोड करू शकतो?

लेखनाच्या वेळी, फक्त चाचणी आवृत्ती तयार आहे, जी येथून डाउनलोड केली जाऊ शकते Github वर भांडार.

स्त्रोत: www.habr.com