{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 het hacken van botnet-knooppunten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Virusanalisten en onderzoekers van computerbeveiliging streven ernaar zoveel mogelijk monsters van nieuwe botnets te verzamelen. Voor hun doeleinden maken ze gebruik van honeypots.\u2026 Maar wat als men de kwaadaardige software in een realistische situatie wil observeren? Moet men dan zijn server of router in gevaar brengen? En wat als er geen geschikt apparaat is? Juist deze vragen hebben me ge\u00efnspireerd om bhunter te cre\u00ebren \u2014 een hulpmiddel voor toegang tot de knooppunten van botnets.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Het belangrijkste idee<\/h1>\n

\nEr zijn veel manieren om kwaadaardige software te verspreiden voor de uitbreiding van botnets: van phishing tot het exploiteren van zero-day kwetsbaarheden. Maar de meest voorkomende methode blijft tot nu toe het raden van wachtwoorden voor SSH.<\/p>\n

Het idee is heel eenvoudig. Als er vanaf een knooppunt in een botnet wachtwoorden voor jouw server worden gekraakt, is de kans groot dat dit knooppunt zelf is overgenomen door het raden van eenvoudige wachtwoorden. Om toegang te krijgen, moet je hem gewoon 'met gelijke munt' beantwoorden.<\/p>\n

Zo werkt bhunter. Het luistert op poort 22 (de SSH-service) en verzamelt alle inloggegevens en wachtwoorden waarmee geprobeerd wordt verbinding te maken. Vervolgens probeert het, met de verzamelde wachtwoorden, verbinding te maken met de aanvallende knooppunten.<\/p>\n

Werkwijze<\/h1>\n

\nDe applicatie kan ruwweg worden onderverdeeld in 2 hoofddelen die in afzonderlijke threads werken. De eerste is de honeypot. Het verwerkt inlogpogingen, verzamelt unieke inloggegevens en wachtwoorden (in dit geval wordt het paar login+wachtwoord als \u00e9\u00e9n geheel beschouwd), en voegt ook IP-adressen die probeerden verbinding te maken toe aan de wachtrij voor een toekomstige aanval.<\/p>\n

De tweede deel is verantwoordelijk voor de aanval zelf. De aanval wordt uitgevoerd in twee modi: BurstAttack (aanval in een wachtrij) \u2014 het raden van inloggegevens en wachtwoorden uit een algemene lijst en SingleShotAttack (aanval met enkele schoten) \u2014 het raden van wachtwoorden die door het aangevallen knooppunt zijn gebruikt, maar nog niet aan de algemene lijst zijn toegevoegd.<\/p>\n

Om direct na de start enige basis van inloggegevens en wachtwoorden te hebben, wordt bhunter ge\u00efnitialiseerd met een lijst uit het bestand \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interface<\/h1>\n

\nEr zijn verschillende manieren om bhunter te starten:<\/p>\n

Gewoon met het commando<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nMet deze lancering is het mogelijk bhunter te beheren via het tekstmenu: inloggegevens voor aanvallen toevoegen, een database van inloggegevens exporteren, een doelwit voor de aanval opgeven. Alle gehackte knooppunten zijn te zien in het bestand \/var\/log\/bhunter\/hacked.log<\/p>\n
Gebruikmakend van tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # opdracht om bhunter te starten via tmux  \nsudo tmux attach -t bhunter # verbinding maken met de sessie waarin bhunter draait\n<\/code><\/pre>\n
\nTmux is een terminalmultiplexer en een zeer handige tool. Hiermee kun je meerdere vensters binnen \u00e9\u00e9n terminal maken en vensters splitsen in panelen. Door het te gebruiken kun je de terminal sluiten en later weer inloggen zonder de lopende processen te onderbreken. <\/p>\n
Het script bhunter-ts cre\u00ebert een tmux-sessie en splitst het venster in drie panelen. In het eerste \u2014 het grootste \u2014 bevindt zich het tekstmenu. Het bovenste rechterpaneel bevat de logs van de honeypot, hier kunnen berichten worden gezien over inlogpogingen op de honeypot. In het onderste rechterpaneel wordt informatie weergegeven over de voortgang van de aanval op de knooppunten van botnets en de succesvolle hacks.<\/p>\n
Het voordeel van deze methode ten opzichte van de eerste is dat we de terminal gerust kunnen sluiten en later terug kunnen keren, terwijl bhunter doorgaat met werken. Aan degenen die niet bekend zijn met tmux raad ik  dit spiekbriefje aan<\/a><\/noindex>.<\/p>\n
As a service<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nIn dit geval schakelen we de automatische start van bhunter in bij het opstarten van het systeem. In deze methode is interactie met bhunter niet voorzien, en de lijst van gehackte knooppunten kan worden verkregen uit \/var\/log\/bhunter\/hacked.log<\/p>\n
Effici\u00ebntie<\/h1>\n
\nTijdens mijn werk aan bhunter heb ik toegang gekregen tot allerlei verschillende apparaten: raspberry pi, routers (vooral mikrotik), webservers, en op een dag een mijnbouwfarm (helaas was de toegang daar maar een dag, dus er is geen interessant verhaal over gekomen). Hier is een screenshot van het programma, waarop de lijst van gehackte knooppunten te zien is na enkele dagen werk:<\/p>\n
\"Bhunter
\n
\nHelaas heeft de effectiviteit van deze tool mijn verwachtingen niet gehaald: bhunter kan dagenlang wachtwoorden proberen zonder resultaat, maar kan ook binnen enkele uren meerdere doelen hacken. Maar voor een reguliere instroom van nieuwe monster botnets is dit voldoende.<\/p>\n
De effectiviteit wordt be\u00efnvloed door parameters zoals: het land waar de server met bhunter zich bevindt, de hosting en het bereik waaruit het IP-adres is toegewezen. Op basis van mijn ervaring was er een geval waarin ik twee virtuele servers bij \u00e9\u00e9n hoster huurde, en \u00e9\u00e9n daarvan werd twee keer zo vaak aangevallen door botnets.<\/p>\n
Bugs die ik nog niet heb opgelost<\/h1>\n
\nBij een aanval op ge\u00efnfecteerde knooppunten is het in sommige situaties niet mogelijk om eenduidig vast te stellen of het wachtwoord correct was of niet. De logging van dergelijke gevallen wordt uitgevoerd in het bestand \/var\/log\/debug.log.<\/p>\n
De Paramiko-module, die wordt gebruikt voor SSH, gedraagt zich soms onjuist: het blijft oneindig wachten op een antwoord van het knooppunt wanneer het probeert verbinding te maken. Ik heb ge\u00ebxperimenteerd met timers, maar het gewenste resultaat niet behaald.<\/p>\n
Waaraan moet nog gewerkt worden?<\/h1>\n
<\/p>\n
Dienstnaam<\/h5>\n
\nVolgens RFC-4253 wisselen de cli\u00ebnt en server voor het opzetten van een verbinding de namen van de diensten uit die het SSH-protocol implementeren. Deze naam staat in het veld \"SERVICE NAME\", dat zowel in het verzoek van de cli\u00ebnt als in het antwoord van de server staat. Het veld is een tekenreeks en de waarde kan worden achterhaald met behulp van wireshark of nmap. Hier is een voorbeeld voor OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nNmap starten ...\nPOORT   STATUS DIENST VERSIE\n22\/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocol 2.0)\nNmap klaar: 1 IP-adres (1 host actief) gescand in 0.47 seconden\n<\/code><\/pre>\n
\nEchter, in het geval van Paramiko bevat dit veld een tekenreeks van het type \"Paramiko Python sshd 2.4.2\", wat botnets kan afschrikken die 'ontwijking' van valstrikken hebben ingebouwd. Daarom vind ik het noodzakelijk om deze tekenreeks door iets neutralers te vervangen.<\/p>\n
Andere vectoren<\/h5>\n
\nSSH is niet het enige middel voor externe beheersing. Er zijn ook telnet en RDP. Het is de moeite waard om ook naar hen te kijken.<\/p>\n
Uitbreiding<\/h5>\n
\nHet zou geweldig zijn om verschillende valstrikken in verschillende landen te hebben en centraal inloggegevens, wachtwoorden en gehackte knooppunten in een gezamenlijke database te verzamelen. <\/p>\n
Waar te downloaden?<\/h1>\n
\nOp het moment van schrijven is er alleen een testversie beschikbaar, die kan worden gedownload van de repository op Github<\/a><\/noindex>.
\n
Bron: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 hackt knooppunten van botnetwerken | ProHoster","description":"Virusanalisten en onderzoekers op het gebied van computerbeveiliging streven ernaar om zoveel mogelijk monsters van nieuwe botnets te verzamelen.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}