{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter \u2014 hackeando n\u00f3s de botnets","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Os analistas de v\u00edrus e os pesquisadores de seguran\u00e7a cibern\u00e9tica buscam coletar o m\u00e1ximo de amostras de novas botnets. Para isso, eles usam honeypots... Mas e se quisermos observar o malware em condi\u00e7\u00f5es reais? Colocar nosso servidor ou roteador em risco? E se n\u00e3o houver um dispositivo adequado? Essas perguntas me levaram a criar o bhunter \u2014 uma ferramenta para obter acesso a n\u00f3s de redes bot.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

A ideia principal<\/h1>\n

\nExistem muitos m\u00e9todos de propaga\u00e7\u00e3o de malware para expandir botnets: desde phishing at\u00e9 a explora\u00e7\u00e3o de vulnerabilidades 0-day. No entanto, o m\u00e9todo mais comum ainda continua sendo a for\u00e7a bruta de senhas SSH.<\/p>\n

A ideia \u00e9 muito simples. Se um n\u00f3 da botnet estiver tentando fazer repetidamente for\u00e7a bruta em sua senha de servidor, \u00e9 prov\u00e1vel que esse n\u00f3 tenha sido capturado por meio de for\u00e7a bruta de senhas simples. Portanto, para acess\u00e1-lo, basta responder com \"m\u00fatua reciprocidade\".<\/p>\n

\u00c9 assim que o bhunter funciona. Ele escuta a porta 22 (servi\u00e7o SSH) e coleta todos os logins e senhas que tentam se conectar a ele. Em seguida, usando as senhas coletadas, tenta se conectar aos n\u00f3s atacantes.<\/p>\n

Algoritmo de opera\u00e7\u00e3o<\/h1>\n

\nO programa pode ser dividido em 2 partes principais que funcionam em threads separadas. A primeira \u2014 honeypot. Ela processa tentativas de login, coleta logins e senhas \u00fanicas (neste caso, o par login+senha \u00e9 tratado como um todo), al\u00e9m de adicionar \u00e0 fila para ataque futuro os endere\u00e7os IP que tentaram se conectar.<\/p>\n

A segunda parte \u00e9 respons\u00e1vel diretamente pelo ataque. O ataque \u00e9 realizado em dois modos: BurstAttack (ataque em fila) \u2014 for\u00e7a bruta de logins e senhas de uma lista geral e SingleShotAttack (ataque de disparos \u00fanicos) \u2014 for\u00e7a bruta de senhas que foram usadas pelo n\u00f3 atacado, mas ainda n\u00e3o adicionadas \u00e0 lista geral.<\/p>\n

Para ter uma base m\u00ednima de logins e senhas logo ap\u00f3s a inicializa\u00e7\u00e3o, o bhunter \u00e9 inicializado com uma lista fornecida pelo arquivo \/etc\/bhunter\/defaultLoginPairs. <\/p>\n

Interface<\/h1>\n

\nH\u00e1 v\u00e1rias maneiras de iniciar o bhunter:<\/p>\n

Simplesmente com o comando<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nCom esse lan\u00e7amento, \u00e9 poss\u00edvel gerenciar o bhunter atrav\u00e9s de seu menu de texto: adicionar logins e senhas para ataques, exportar o banco de logins e senhas, especificar um alvo para o ataque. Todos os n\u00f3s invadidos podem ser vistos no arquivo \/var\/log\/bhunter\/hacked.log<\/p>\n
Usando tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # comando para iniciar bhunter atrav\u00e9s do tmux  \nsudo tmux attach -t bhunter # conectando-se \u00e0 sess\u00e3o onde o bhunter est\u00e1 em execu\u00e7\u00e3o\n<\/code><\/pre>\n
\nTmux \u00e9 um multiplexador de terminal, uma ferramenta extremamente \u00fatil. Permite criar v\u00e1rias janelas dentro de um \u00fanico terminal e dividir as janelas em pain\u00e9is. Usando-o, voc\u00ea pode sair do terminal e depois voltar sem interromper os processos em execu\u00e7\u00e3o. <\/p>\n
O script bhunter-ts cria uma sess\u00e3o tmux e divide a janela em tr\u00eas pain\u00e9is. No primeiro \u2014 o maior, est\u00e1 o menu de texto. O painel superior direito cont\u00e9m os logs do honeypot, onde \u00e9 poss\u00edvel ver mensagens sobre tentativas de acesso ao honeypot. No painel inferior direito, s\u00e3o exibidas informa\u00e7\u00f5es sobre o progresso dos ataques aos n\u00f3s das botnets e sobre invas\u00f5es bem-sucedidas.<\/p>\n
A vantagem desse m\u00e9todo em rela\u00e7\u00e3o ao primeiro \u00e9 que podemos fechar o terminal com seguran\u00e7a e voltar a ele mais tarde, enquanto o bhunter continuar\u00e1 a funcionar. Para aqueles que n\u00e3o est\u00e3o familiarizados com o tmux, recomendo  este guia<\/a><\/noindex>.<\/p>\n
Como servi\u00e7o<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nNeste caso, estamos ativando o in\u00edcio autom\u00e1tico do bhunter ao iniciar o sistema. Neste m\u00e9todo, a intera\u00e7\u00e3o com o bhunter n\u00e3o \u00e9 prevista, e a lista de n\u00f3s comprometidos pode ser obtida de \/var\/log\/bhunter\/hacked.log<\/p>\n
Efici\u00eancia<\/h1>\n
\nDurante o tempo em que trabalhei no bhunter, consegui encontrar e acessar dispositivos diferentes, como raspberry pi, roteadores (especialmente mikrotik), servidores web, e uma vez, uma fazenda de minera\u00e7\u00e3o (infelizmente, o acesso foi apenas durante um dia, ent\u00e3o n\u00e3o tive uma hist\u00f3ria interessante para contar). Aqui est\u00e1 uma captura de tela do programa, mostrando a lista de n\u00f3s hackeados ap\u00f3s alguns dias de opera\u00e7\u00e3o:<\/p>\n
\"Bhunter
\n
\nInfelizmente, a efic\u00e1cia desta ferramenta n\u00e3o atendeu \u00e0s minhas expectativas: o bhunter pode tentar v\u00e1rias senhas em n\u00f3s por dias sem sucesso, ou pode hackear v\u00e1rias alvos em poucas horas. Mas para um fluxo regular de novas amostras de botnets, isso \u00e9 suficiente.<\/p>\n
Fatores como: o pa\u00eds onde o servidor com bhunter est\u00e1 localizado, o provedor de hospedagem, e o intervalo do qual o endere\u00e7o IP \u00e9 alocado influenciam a efic\u00e1cia. Na minha experi\u00eancia, houve um caso em que aluguei dois servidores virtuais de um mesmo provedor, e um deles foi alvo de ataques de botnets duas vezes mais frequente.<\/p>\n
Bugs que ainda n\u00e3o corrigi<\/h1>\n
\nAo atacar n\u00f3s comprometidos, em algumas situa\u00e7\u00f5es, n\u00e3o \u00e9 poss\u00edvel determinar com precis\u00e3o se a senha estava correta ou n\u00e3o. O registro de tais casos \u00e9 feito no arquivo \/var\/log\/debug.log.<\/p>\n
O m\u00f3dulo Paramiko, que \u00e9 usado para trabalhar com SSH, \u00e0s vezes se comporta de maneira irregular: ele entra em um estado de espera infinita por uma resposta do n\u00f3 quando tenta se conectar a ele. Experimentei com timers, mas n\u00e3o obtive o resultado desejado.<\/p>\n
Em que mais precisamos trabalhar?<\/h1>\n
<\/p>\n
Nome do servi\u00e7o<\/h5>\n
\nDe acordo com o RFC-4253, o cliente e o servidor trocam nomes de servi\u00e7os que implementam o protocolo SSH antes de estabelecer a conex\u00e3o. Esse nome \u00e9 encontrado no campo \"SERVICE NAME\", que est\u00e1 presente tanto na solicita\u00e7\u00e3o do cliente quanto na resposta do servidor. O campo \u00e9 uma string, e seu valor pode ser obtido usando wireshark ou nmap. Aqui est\u00e1 um exemplo para OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nIniciando o Nmap ...\nPORTA ESTADO SERVIÇO VERSÃO\n22\/tcp aberto  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (protocolo 2.0)\nNmap concluído: 1 endereço IP (1 host ativo) escaneado em 0,47 segundos\n<\/code><\/pre>\n
\nNo entanto, no caso do Paramiko, esse campo cont\u00e9m uma string do tipo \"Paramiko Python sshd 2.4.2\", o que pode afastar botnets que t\u00eam a capacidade de \"evitar\" armadilhas. Portanto, considero necess\u00e1rio substituir essa string por algo mais neutro.<\/p>\n
Outros vetores<\/h5>\n
\nSSH n\u00e3o \u00e9 a \u00fanica ferramenta de gerenciamento remoto. Existem tamb\u00e9m telnet, rdp. Vale a pena dar uma olhada neles.<\/p>\n
Extens\u00e3o<\/h5>\n
\nSeria \u00f3timo ter v\u00e1rias armadilhas em diferentes pa\u00edses e coletar centralizadamente logins, senhas e n\u00f3s comprometidos em um banco de dados comum. <\/p>\n
Onde baixar?<\/h1>\n
\nNo momento da escrita deste artigo, apenas uma vers\u00e3o de teste est\u00e1 dispon\u00edvel, que pode ser baixada de reposit\u00f3rio no Github<\/a><\/noindex>.
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 invadindo n\u00f3s de botnets | ProHoster","description":"Analistas de v\u00edrus e pesquisadores de seguran\u00e7a cibern\u00e9tica buscam coletar o maior n\u00famero poss\u00edvel de amostras de novas botnets.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}