{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2013 hakker botnett noder","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Virusanalytikere og datamaskinsikkerhetsforskere s\u00f8ker \u00e5 samle inn s\u00e5 mange pr\u00f8ver av nye botnett som mulig. I sine m\u00e5l bruker de honeypots.\u2026 Men hva om man \u00f8nsker \u00e5 observere malware under virkelige forhold? \u00c5 risikere sin egen server eller ruter? Hva om man ikke har en passende enhet? Disse sp\u00f8rsm\u00e5lene ledet meg til \u00e5 lage bhunter \u2014 et verkt\u00f8y for \u00e5 f\u00e5 tilgang til botnett-noder.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Grunnleggende id\u00e9<\/h1>\n

\nDer findes mange m\u00e5der at sprede skadelig software for at udvide botnets: fra phishing til udnyttelse af 0-day s\u00e5rbarheder. Men den mest udbredte metode er stadig at brute force SSH-adgangskoder.<\/p>\n

Ideen er meget enkel. Hvis der fra en node i botnettet foretages brute force angreb p\u00e5 din server, er det sandsynligt, at denne node selv er blevet overtaget ved brute force angreb p\u00e5 enkle adgangskoder. Derfor, for at f\u00e5 adgang til den, skal man bare svare med \"det samme\".<\/p>\n

S\u00e5dan fungerer bhunter. Det lytter p\u00e5 port 22 (SSH-tjenesten) og indsamler alle login og adgangskoder, som der fors\u00f8ges at oprette forbindelse med. Derefter, ved hj\u00e6lp af de indsamlede adgangskoder, fors\u00f8ger det at oprette forbindelse til de angribende noder.<\/p>\n

Algoritmen for arbejdsgang<\/h1>\n

\nProgrammet kan groft opdeles i to hoveddele, som arbejder i separate tr\u00e5de. Den f\u00f8rste \u2014 honeypot. Den behandler loginfors\u00f8g, indsamler unikke login og adgangskoder (i dette tilf\u00e6lde betragtes login+adgangskode som en enhed), samt tilf\u00f8jer IP-adresser, der har fors\u00f8gt at oprette forbindelse, til en k\u00f8 til videre angreb.<\/p>\n

Den anden del er direkte ansvarlig for angrebet. Angrebet udf\u00f8res i to tilstande: BurstAttack (angreb med k\u00f8) \u2014 brute force af login og adgangskoder fra en samlet liste og SingleShotAttack (angreb med enkelt skud) \u2014 brute force af adgangskoder, som blev brugt af den angrebne node, men som endnu ikke er blevet tilf\u00f8jet til den samlede liste.<\/p>\n

For at have en nogenlunde database af login og adgangskoder lige efter opstarten, initialiseres bhunter med en liste fra filen \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Grensesnittet<\/h1>\n

\nDer er flere m\u00e5der at starte bhunter p\u00e5:<\/p>\n

Bare ved hj\u00e6lp af kommandoen<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nVed en slik oppstart er det mulig \u00e5 administrere bhunter gjennom dens tekstmeny: legge til brukernavn og passord for angrep, eksportere databasen med brukernavn og passord, angi m\u00e5l for angrep. Alle hacket noder kan sees i filen \/var\/log\/bhunter\/hacked.log<\/p>\n
Bruke tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # kommando for \u00e5 starte bhunter gjennom tmux  \nsudo tmux attach -t bhunter # kobler til sesjonen der bhunter kj\u00f8rer\n<\/code><\/pre>\n
\nTmux er en terminalmultiplexer og et veldig nyttig verkt\u00f8y. Den lar deg opprette flere vinduer innen ett terminalvindu, og vinduer kan deles opp i paneler. Med det kan du logge ut av terminalen og deretter logge inn igjen uten \u00e5 stoppe kj\u00f8rende prosesser. <\/p>\n
Scriptet bhunter-ts oppretter en tmux-\u00f8kt og deler vinduet inn i tre paneler. I det st\u00f8rste panelet finnes tekstmenyen. \u00d8verste h\u00f8yre inneholder loggene fra honeypoten, her kan man se meldinger om innloggingsfors\u00f8k p\u00e5 honeypoten. I den nederste h\u00f8yre panelet vises informasjon om fremdriften av angrepene p\u00e5 botnett-noder og om vellykkede hacks.<\/p>\n
Fordelen med denne metoden fremfor den f\u00f8rste er at vi trygt kan lukke terminalen og g\u00e5 tilbake til den senere, samtidig som bhunter vil fortsette \u00e5 kj\u00f8re. For de som er lite kjent med tmux, foresl\u00e5r jeg  denne huskelappen<\/a><\/noindex>.<\/p>\n
Som en tjeneste<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nI dette tilfellet aktiverer vi automatisk oppstart av bhunter ved systemstart. I denne metoden er det ikke noe samspill med bhunter, og listen over kompromitterte noder kan hentes fra \/var\/log\/bhunter\/hacked.log<\/p>\n
Effektivitet<\/h1>\n
\nI l\u00f8pet av arbeidet med bhunter har jeg klart \u00e5 finne og f\u00e5 tilgang til helt forskjellige enheter: raspberry pi, rutere (spesielt mikrotik), web-servere, og en gang en miningfarm (dessverre var tilgangen til den bare i l\u00f8pet av en dag, s\u00e5 det ble ikke en interessant historie). Her er et skjermbilde av programmet, hvor du kan se listen over kompromitterte noder etter flere dager med drift:<\/p>\n
\"Bhunter
\n
\nDessverre n\u00e5dde effektiviteten til dette verkt\u00f8yet ikke mine forventninger: bhunter kan bruke flere dager p\u00e5 \u00e5 kj\u00f8re gjennom passord til noder uten resultat, men kan ogs\u00e5 bryte seg inn p\u00e5 flere m\u00e5l p\u00e5 bare noen timer. Men for regelmessig tilstr\u00f8mning av nye botnet-typer er dette tilstrekkelig.<\/p>\n
Effektiviteten p\u00e5virkes av faktorer som: landet hvor serveren med bhunter befinner seg, hosting og omr\u00e5det fra hvilket IP-adressen tildeles. I min erfaring var det et tilfelle der jeg leide to virtuelle servere fra en leverand\u00f8r, og den ene ble utsatt for angrep fra botnett to ganger oftere.<\/p>\n
Bugs jeg ikke har fikset enn\u00e5<\/h1>\n
\nVed angrep p\u00e5 infiserte noder er det i noen situasjoner vanskelig \u00e5 avgj\u00f8re om passordet var korrekt eller ikke. Logging av slike tilfeller skjer i filen \/var\/log\/debug.log.<\/p>\n
Paramiko-modulen, som brukes til \u00e5 jobbe med SSH, oppf\u00f8rer seg noen ganger unormalt: den g\u00e5r i en uendelig ventetilstand p\u00e5 svar fra noden n\u00e5r den pr\u00f8ver \u00e5 koble seg til. Jeg har eksperimentert med tidtakere, men har ikke oppn\u00e5dd \u00f8nsket resultat.<\/p>\n
Hva annet m\u00e5 vi jobbe med?<\/h1>\n
<\/p>\n
Tjenestenavn<\/h5>\n
\nI henhold til RFC-4253 utveksler klient og server tjenestenavnene som implementerer SSH-protokollen f\u00f8r oppsett. Dette navnet finnes i feltet \u00abSERVICE NAME\u00bb, som finnes b\u00e5de i foresp\u00f8rselen fra klienten og i svaret fra serveren. Feltet er en streng, og verdien kan findes ved \u00e5 bruke Wireshark eller Nmap. Her er et eksempel for OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nStarting Nmap ...\nPORT   STATE SERVICE VERSION\n22\/tcp open  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocol 2.0)\nNmap done: 1 IP address (1 host up) scanned in 0.47 seconds\n<\/code><\/pre>\n
\nMen i tilfelle av Paramiko inneholder dette feltet en streng av typen \u00abParamiko Python sshd 2.4.2\u00bb, noe som kan skremme botnett som er programmert til \u00e5 \u00abunng\u00e5\u00bb feller. Derfor mener jeg det er n\u00f8dvendig \u00e5 erstatte denne strengen med noe mer n\u00f8ytralt.<\/p>\n
Andre vektorer<\/h5>\n
\nSSH er ikke det eneste middelet for fjernadministrasjon. Det finnes ogs\u00e5 Telnet og RDP. Det kan v\u00e6re verdt \u00e5 ta en n\u00e6rmere titt p\u00e5 disse ogs\u00e5.<\/p>\n
Utvidelse<\/h5>\n
\nDet ville v\u00e6rt flott \u00e5 ha flere feller i ulike land og sentralt samle inn brukernavn, passord og kompromitterte noder i en felles database. <\/p>\n
Hvor kan jeg laste ned?<\/h1>\n
\nP\u00e5 tidspunktet for skrivingen er det kun en testversjon tilgjengelig for nedlasting fra depotet p\u00e5 GitHub<\/a><\/noindex>.
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 bryter inn i botnett | ProHoster","description":"Virusanalytikere og forskere innen datakrigf\u00f8ring streber etter \u00e5 samle s\u00e5 mange pr\u00f8ver av nye botnett som mulig.","canonical_url":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nn_NO","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/no\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}