Válí se ti projekty v šuplíku? Dostaň je mezi lidi a získej cool tričko a body na profi IT kurzy v soutěži ITnetwork summer 2017!
Přidej si svou IT školu do profilu a najdi spolužáky zde na síti :)

BOTNET - Úvod

Sítě BOTNET - Úvod

ONEbit hosting Unicorn College Tento obsah je dostupný zdarma v rámci projektu IT lidem. Vydávání, hosting a aktualizace umožňují jeho sponzoři.

V rámci obohacení témat na ITnetwork jsem se rozhodl publikovat svoji práci BOTNET, aneb projekt S.A.N.D. Toto jméno dostal projekt od zabudování takzvané schopnosti "přežívat". Doufám, že toto bude pro některé z vás inspirace. Zdrojový kód mohu poskytnout pouze na požádání. Tento program byl označen společností ESET s.r.o. za bezpečnostní hrozbu s Exploitací PowerShell a ZIP archivy, které nebyly uveřejněny. V ukázkách nejsou uvedeny kompletní zdrojové kódy a neslouží jako návod! Pouze pro vzdělávací účely. V práci jsou uvedeny způsoby komunikace mezi boty, servery a veškerá funkce bloků v programu. Ze začátku seriálu uvedu do kontextu základní pojmy. Pro ty zkušenější, nenechte se znechutit a ze začátku to vydržte. Děkuji :)

Úvod

Definice pojmů a úvod do problematiky

Bot je takzvaný klient sítě BOTNET, odesílající data na server nebo jiného klienta. Response je odezva bota serveru nebo jinému botu o stavu příkazu, činnosti, procesu a dalšího. BOTNET, aneb síť počítačů, která je kontrolovaná z centra, většinou bývá označovaná za takzvaný škodlivý software, kterým je ovládán systém oběti bez jejího vědomí. V některých případech ale nemusí být nutně tento software škodlivý. Tento software nemusí být nutně v programové verzi jak si většina uživatelů myslí například Google používá tzv. BOTNET, pomocí kterého vám zobrazuje reklamy. Tento BOTNET je založen pouze na webových klientech, kteří pomocí vyhledávání jsou takzvaní klienti a i když si myslíme, že nás toto neovlivňuje, tak se ve většině případů mýlíme, jelikož služby Google jsou skoro všude. Například služby Google Analytics:

Ukázka Google analytics

V této práci se, ale zaměříme na program, který bude na počítači a bude běžet jako proces v počítači, nikoli prohlížeči jako webový skript.

Historie

Začátky BOTNETu jako takového se začaly vyskytovat kolem roku 2000. Některé z prvních byly: Marina BOTNET s počtem okolo 6,215,000 botů, Bagle(2004) s počtem okolo 230,000 botů. Tyto sítě se aktivně používaly pro posílání spam emailů, DDOS a dalších služeb, které si zadavatelé vymysleli. Většina těchto sítí vznikla jen za účelem komerčního zisku. Bylo z nich možné profitovat například vyhrožováním určitým společnostem DDOS útokem nebo rozesílání reklamních emailů. Legálně se tyto sítě používaly k propojení a kontrole více počítačů za účelem splnění úkolů, na kterém pracovaly všechny společně tak, aby nebyla potřeba více lidí k zadávání příkazů. Bohužel historie BOTNETU je spíše nelegální a lidé si s ním spojují kriminální činnost.

Ilustrace Botnetu

Vývoj topologií

Topologie Klient-Server

Tato topologie spočívá v jednom nebo více poskytovatelích (serverech), kteří sdílejí službu pro klienta/y. Tyto role se v této topologii nemění nebo se mění velice málo. V tomto případě Boti odesílají data na příslušný server za účelem předání informace o jejich stavu. Server tvoří záchytný bod, který všichni boti znají nebo znají jeden z mnoha bodů, kde si mohou odebírat data o jejich úkolech a dalších postupech. Nekomunikují však vzájemně, pouze přes zprostředkovatele (bod). Grafické znázornění Topologie:

Ukázka topologie klient-server

Příklad komunikace klienta se serverem v našem BOTNETU by vypadal následujícím způsobem:

  • Server zadá požadavek k činnosti bota „Kolik je hodin na tvém místě?“.
  • Klient si tento požadavek převezme ke zpracování a na základě požadavku vykoná interní funkci.
  • Návratová hodnota bude doručena serveru prostřednictvím internetu, bude to odpověď klienta, například „4:00:09 AM GMT +1“.
  • Server za podmínky, že klient a server je stále připojen k internetu, odpověď zpracuje.
  • Server může zaslat klientovi, že jeho informace dorazila v pořádku dalším požadavkem. Pokud se informace rovná té, kterou odeslal klient, pokračuje v další úloze. Pokud ne, klient zkontroluje své internetové připojení a zkusí odeslat znovu.
  • Server zobrazí informaci, kterou jsme si zažádali, tedy „4:00:09 AMGMT + 1“.
  • Po ukončení tohoto cyklu klient odešle serveru odpověď o stavu, např. připraven nebo chyba.
  • Klient je připraven k dalšímu požadavku a server opět může zadávat nové úlohy klientovi.

Další topologie typu klient-server jsou hvězda, multi-server, hierarchická.

Hvězda

V této topologii jsou boti soustředěni kolem centrálního serveru jednoho z hostů (Obrázek s obrácením Odpověď Požadavek).

Multi Server

V této topologii jsou klienti servery a server je klient. Server chová jako klient a zadává požadavky ostatním a dostává odpovědi.

Hierarchická

V této topologii jsou boti organizováni do skupin, aby se zlepšila spolehlivost. Tyto skupiny mohou tvořit například státy, v kterých boti operují. Tato topologie je oblíbená z důvodu pronajímatelnosti těchto skupin a větší bezpečnosti v ohledu odhalení dotyčných botů.

Ukázka hierarchické topologie

Topologie Klient-Klient (Peer to Peer)

Sestává z klientů připojených pomocí P2P, aneb klient připojený ke klientovi. Dělí se na další pod-topologie, ale vzhledem k cílům této práce je nebudu uvádět. Používá se například jako tzv.FailSafe BOTNETu, tzn., že pokud vypadne hlavní server, tak se boti dokáží přeformovat v plně funkční P2P síť a jejich „server“ bude jeden z nich, který vydá příkaz například s heslem. Bohužel většina DNS serverů a NAT připojení již blokuje P2P a tak si bot musí najít cestu k předání informace jiným způsobem. Těmi jsou například Teredo, který posílá vaši informaci přes celý internet, aby obešel všechna omezení a je tu značné zpoždění. Jsou tu i jiné možnosti jako je VPN a další, ale v této práci nebudeme sestavovat BOTNET z P2P.

Ukázka síťové topologie peer to peer

Programovací jazyky

V této práci budeme používat více programových jazyků. Hypertextové, objektové a skripty ve vzájemné souhře a spolupráci. Tyto programy v různých jazycích jsou nastaveny tak, aby dokázaly mezi sebou sdílet důležité informace a proměnné.

Hypertextové jazyky

Programovací jazyk PHP a značkovací jazyk HTML budou použity pro tvorbu Hosta, který bude zadávat příkazy botům. Přidá se k nim jazyk JS (Javascript), který bude použit k ulehčení zadávání příkazů a adres botů. Host je WWW stránka na webostingu Endora, v případě výpadku je zde více hostů a program se dokáže mezi nimi přepínat na základě odezvy ze stažených souborů. CSS je použit pro tzv. vzhled stránky veškeré barvy, pozadí a designová stránka práce. Z těchto jazyků jsou v této práci nezbytné jen PHP a HTML, jelikož by host bez nich nefungoval. Ostatní jsou jen designové prvky nebo zjednodušení pro nás.

PHP

Jazyk používaný pro takzvaný backend proces ze strany serveru. Tento jazyk nevidí uživatel, je pouze na straně serveru. Je využit k zápisu, čtení příkazů, přihlašování, formátování tabulek a automatizaci procesu. Přebírá http požadavky ze strany botů (klientů), zapisuje příkazy do souborů, je nezbytný pro veškeré zpracování. Tvoří 50% z celé webové stránky.

HTML

Slouží jako hlavní tzv. nosný prvek při konstrukci stránek. Formuláře a páteřní struktura, kam se budou vkládat skripty, formátování a kam budeme generovat výstup na backendu. Tvoří 10% z webové stránky.

CSS

Tento jazyk je zodpovědný za formátování designové stránky hosta. Designové prvky jako je pozadí, okraje tabulek a veškeré viditelné prvky jsou nadefinované v tomto jazyku. Tvoří 20% z celkové webové stránky.

JS

Slouží k zprostředkování, v tomto případě zjednodušení, jako je automatické vyplnění údajů po kliknutí na odkaz a automatické obnovení stránky po přihlášení. Tvoří zbývajících 20% z celkové stránky.

Desktopové jazyky

C# .NET

Tento jazyk bude tvořit páteřní konstrukci klientů (botů), byl použit z důvodu nižší složitosti kódu, jelikož nemá tolik chybových stavů a není tak náchylný na chybovost. Bohužel se nedá použít na všechno a tak na jednoduší operace je využit jazyk Batch.

Jazyk se používá i pro konstrukci grafických aplikací. Zde je použit v konzolových aplikacích. Zpracování tohoto programu musí být prováděno kompilací a samotné programování v tomto jazyce bylo uskutečněno ve vývojovém prostředí Visual Studio. Bohužel v některých situacích by bylo jeho použití zbytečně složité, proto je použit skriptovací jazyk Batch. Jmenné prostory, třídy, metody jsou vrstvy programu. Pomocí volání metod v určité třídě můžeme snadno oddělit metody podle oboru činnosti, např.: souborové, diagnostické a další.

Skriptovací jazyky

Batch

Tento jazyk je ve operačním systému Windows použit k zprostředkování jednoduchých operací jako je kopírování, spouštění programů a dalších funkcí. V této práci jsem použil tento jazyk z důvodu jednoduchosti řešení, například mazání, a lepšímu přístupu k systémovým funkcím. Je použit pro službu Updater, Injector a jeho slave. Jednorázových příkazů (quickie), Remover (Odstranění všech souborů, které byly vytvořeny od BOTNETu.

VBScript

Zkratka pro „Visual Basic Scripting Edition“. Tento jazyk je velmi oblíbený u hackerů, jelikož se pomocí malého skriptu dá přistupovat k velkému množství programů a dat. Použití v této práci je na bázi skrytí našich činností a odesílání dat na našeho hosta. V případě, že bychom chtěli šířit náš program do dalších počítačů bez vědomosti uživatele, tak bychom tímto jazykem udělali rozhraní na kopírování emailových adres uložených v uživatelově emailu. Poté bychom na všechny tyto emaily odeslali nějakou výzvu z emailu, který by byl např. [email protected] se správou „Dobrý den $jméno$, nepodařila se aktualizace vašeho systému, aktualizujte programem přiloženým v příloze. V případě ignorování výzvy může dojít ke ztrátě vašich dat.“. Tento skript by nebylo těžké také vložit na stránku, kde by se automaticky spustil a ukázala by se uživateli např. koťátka.

Rozšiřování BOTNETu

Sociální sítě

Použití hlouposti lidí za účelem spuštění programů nebo navštívení stránek. Toto se většinou používá, jelikož jsou uživatelé zvědaví a kliknou nebo udělají něco, o čem nic neví. Např. Malware emaily, použití sociálních sítí (Facebook), použití komunikačních služeb (Skype, Teamspeak). Universální způsob jak se tyto věci dělají je využití zvídavosti, např. zvolení nějakého titulku, který uživatele zajímá. Po kliknutí se spustí skript a počítač je infikován, program může zasílat dalším lidem tento skript pod nějakou zprávou např. „Ahoj našel jsem úžasnou hru, stáhni si ji zde www.hra.cz“.

Bez použití uživatele

V tomto případě předpokládáme, že uživatel tento soubor nestáhne a nespustí. Je nutno použít jiných způsobů k dosažení svých cílů. Způsoby jsou např. vytvořit program, který v dané síti dokáže vkládat soubory do ostatních počítačů a spouštět na nich příkazy, ten nazýváme Exploit. V případě, že se rozhodneme pro tuto možnost, je nutné uvědomovat si všechny závislosti v sítích a dokázat svůj program naprogramovat tak, aby se přizpůsobil. V některých případech je možno použít konvenční exploity pro Windows XP, jelikož většina firem tyto operační systémy stále používá. Avšak daleko snazší je v sítích uplatňovat pravidlo „Need Admin“, což znamená, že se pokusíte získat práva administrátora a poté rozšíříte pomocí jeho práv všechny soubory do všech PC.

Využití chyb samotných operačních systémů Windows

V tomto případě předpokládáme, že uživatel a administrátoři provedli vynikající práci a k počítačům se nedá přistupovat Exploity a jinými konvenčními způsoby. V tento moment přichází poslední způsob jak si vytvořit vlastní přístup do systému a to je “ATOM Bomb“. Technika spočívající ve využívání systémových „Atomů“ ke spouštění příkazů na nejmenší bázi, které může vykonávat kdokoliv bez oprávnění, a tím obejdeme všechna oprávnění.

V dalším díle se podíváme na Mechanismy , které se týkají komunikačních protokolů tak i vykonávání příkazů. Děkuji za přečtení a budu se na vás těšit v příštím díle, kde si podrobněji popíšeme mechanismy BOTNETu. :-)


 

 

Článek pro vás napsal 0paka Knz3z0
Avatar
Jak se ti líbí článek?
14 hlasů
Autor se věnuje Zabezpečení webových stránek, Serverů,Malware,Exploiting
Miniatura
Všechny články v sekci
Síťové technologie
Miniatura
Následující článek
BOTNET - Mechanismy
Aktivity (3)

 

 

Komentáře

Avatar
Jan Urbanec
Člen
Avatar
Jan Urbanec:25. března 11:25

5* za koťátka!

Odpovědět 25. března 11:25
V případě žízně: I v gořale je nějaká voda!
Děláme co je v našich silách, aby byly zdejší diskuze co nejkvalitnější. Proto do nich také mohou přispívat pouze registrovaní členové. Pro zapojení do diskuze se přihlas. Pokud ještě nemáš účet, zaregistruj se, je to zdarma.

Zobrazeno 3 zpráv z 3.