botnetek vezérlése blokkolható?

Hálózatok általános

Itt van pl. ez:
http://index.hu/tech/biztonsag/2010/08/26/napi_46_milliard_emailt_kuld_…

ezt nem tudnám úgy blokkolni, hogy a vezérlő szerverek felé menő forgalmat blokkolom?
a kérdés konkrétan az, lehet-e tudni, hogy milyen ip-ken és portokon kommunikálnak?

  • 2137 megtekintés

( lacika v | 2010. 08. 26., cs – 20:39 )

Ha ez ennyire triviális lenne, akkor nem küldene 46 milliárd e-mailt...

( bandy | 2010. 08. 26., cs – 20:53 )

Sajnos rengeteg mindenféle védelem nélkül közvetlenül a netre kapcsolt PC van a világon. Még egy mezei víruskergető sincs telepítve + a mindenféle összewarezolgatott, kiherélt, frissítések nélküli "vindózok" csak segítik ezeknek a botneteknek a szaporodását... Azokat hogy akarod blokkolni? ISP szinten?

( eax | 2010. 08. 26., cs – 21:33 )

Dehogynem, sot, eleg az evil bitre szurni. OMFG.

--
Fontos feladatot soha ne bizz olyan gepre, amit egyedul is fel tudsz emelni!

Leven hogy evek ota kuzdenek a botnet ellen, nem fogunk itt a hupon megoldast talalni a problemara.

Foleg, hogy ha a T. botnet egy kicsit is ertelmes, akkor nem ugy lett megirva, hogy egyszeruen szurheto legyen. Feltehetoleg szepen elrejti magat teljesen artatlannak latszo adatforgalomban.

Virusirto a fertozott gepen feltehetoleg segitene, dehat az ugye nem opcio.

Szerintem sok mindent lehetne tudni, tenni, ha azok, akik visszafejtették már a vírusokat, ezt közzétették volna. Lehetne pl. tudni, hogy:
- hogyan vezérlik őket, akkor takarékra lehetne tenni
- hogyan terjednek, akkor blokkolni lehetne a terjedéskor használt portokat
- mit csinál, amikor támad, akkor ebből is lehetne takarítani.

A vezérlés algoritmusa lehetne publikus, mert azt a vírusból ki kellene tudni nyerni. Azt egy határvédelmi eszközben implementálva lehetne lépni valamit.

Vannak tipikus tevékenységek, amik elég nyilvánvalóak, pl. hogy az ms által használt portokat scannelik, de hasznos lenne, ha adott vírusra jellemző specifikus tevékenységet is tudnánk szűrni.

"Virusirto a fertozott gepen feltehetoleg segitene, dehat az ugye nem opcio.": miért is ne lehetne opció? A legtöbb isp ászf-jében van erre vonatkozó passzus, választhat az ügyfél, hogy felrak valami rendes cuccot vagy nem internetezik.

Sulc hozzaszolasahoz annyit tennek hozza, hogy:

A vezerles nagyon sokretu lehet, eleg lehet annyi, hogy mittudomen, megfelelo helyrol erkezik egy ping. Meg lehet oldani hogy egy-egy parancs modositsa a tovabbi vezerles modjat - igy nem fogod tudni ISP szinten szurni, hacsak nem akarsz teljesen legit tartalmat is kiszurni. Ha mas protokollba van agyazva a dolog, es teljesen artalmatlannak latszik, akkor szinten nem fogod tudni szurni.

A terjedeskor hasznalt portot szinten nem fogod tudni blokkolni, ha mas protokollba epul, vagy a port nem fix (valoszinuleg nem az).

Amikor tamad, akkor meg mar a fertozott gepen van a kod, azt nem fogod ISPnel megallitani, mert mar tuljutott rajta.

Virusirtoval kapcsolatban: igen, sok aszfben benne van. Sok sikert a fertozott gepek felderitesehez, es a szabaly betartatasahoz.

Találgatások helyett arra vágyom, hogy valaki konkrétumokat mond...

Amikor támad, akkor ismert sebezhetőségeket próbálgat végig. Nagyon tipikus megjelenése ennek, hogy a 445-ös tcp portot scannelik, dögivel. Azt mondani, hogy amelyik gép 445-ös tcp portra akar kapcsolódni, több, mint óránként 20 ezer különböző ip címre, az vírusos, ez egy jó, működő szűrőfeltétel. De szeretnék még ilyet és nem csak a 139-es portra.

"Virusirtoval kapcsolatban: igen, sok aszfben benne van. Sok sikert a fertozott gepek felderitesehez, es a szabaly betartatasahoz.": hidd el nekem, ez nem olyan nagyon bonyolult dolog és simán működik. Csak elhatározás kérdése, meg pár shell script. De javítaná a dolgot, ha többféle (mondjuk úgy) patternre lehetne szűrni.

Mi lett volna ha te is, meg az elvbarátaid is konkrétumokat mondtatok volna egy konkrét, nem flame jellegű kérdésre? Neked nem lenne jobb, ha nem portscannelne mindenki téged otthon?

Mindenkinek sokkal jobb lenne, ha nem kellene minden isp-ben nulláról újra meg újra feltalálni a dolgokat, vagy legalább csendben maradtál volna.

Arra már gondolni sem merek, hogyha a gyerekemmel is úgy viselkedne egy-két tanára, mint itt velem egy-két tanárnak látszó képződmény, mit csináltam volna az iskolájában... (nem te voltál, csak nem akarok már sok hsz-t).

Másik lehetséges ok: fogalmatok sincs róla nektek sem. Csak titeket nem is érdekel.

A portscan-t egy átlagos ids/ips is képes megtalálni, ha saját hálózatból jön, akkor akár ki is lehet iktatni (a forrás letiltásával).
Az ISP-nek nem kell mindent újra feltalálni, vannak pest practice megoldások, erre a célra készített eszközök, amiket használni _kéne_. Csak ugye ezzel is az a gond, hogy azt a forgalmat, ami manapság egy-egy isp határain átmegy, azt igen durva vasakkal lehetne on-line monitorozni/statisztikai elemezni, ez meg nem biztos, hogy ésszerű erőforrás-felhasználással egyáltalán megkísérelhető.

Pl. több szolgáltató szűri a hálózatából kifelé (meg akár a hálózatán belül is) az smtp-forgalmat. Ez pl. egy általánosan bevett megoldás - az bizonyos, hogy a saját hálózatukból direktben nem megy ki spam. A mailszerevrükön meg authentikációt kérnek, onnantól meg csak egy lépés, hogy panasz esetén a megfelelő ügyfél nemesebbik szervére lépjenek. Hasonlóképp van olyan kábeles szolgáltató, ahol a Windows-os fájl- és nyomtatómegosztás van kicsapva az első adandó eszközön - akinek kell, annak visszarakják, viszont ezzel egyrészt alapból ki van hajítva a drótról egy rakás sz@r (Windows broadcastok), meg az ilyen úton terjedő szemetek sem bántják a felhasználóik jelentős hányadát.

Meg berak egy vagy több IDS-dobozt, csigabites/tízcsigás lábakkal, mondjuk fél óránként érkező on-line frissítéssel. Az hogy csomag innen-oda átmegy, az a dolgok egyik része, az meg a másik, hogy statisztikai elemzést csinálsz az átmenő forgalomról, és az anomáliákra próbálsz vadászni. A probléma abból adódik, hogy mire te rájössz, hogy az adorr forgalomváltozás kártékony tevékenységből fakad, addigra már el is tűnik, és másképp fog jelentkezni.

Vagy esetleg tobb fogalmunk van rola, mint neked, es nagyon jot szorakozunk azon elvetelt otleteden, hogy port alapjan blokkolni szeretnel egy ilyen botnet kepzodmenyt. ;)

Hasrautes szeruen, legyen adott a kovetkezo helyzet: adott egy $OS sebezhetoseg, meg N+1 r=0 user. Fogonoszunk ir egy programot, ami megtori $OS-t, ezt pl screensavernek vagy .jpgnek alcazva kiteszi a Zinternetre, par linket helyez el ra, egy-ket email, es maris jon a sok r=0 user es megtoreti magat.

Ezt egesz addig nem tudod szurni, amig a virusirtok fel nem ismerik a kerdeses trojait, es akkor is csak abban az esetben, ha szurod a userek forgalmat. Es akkor sem mindig. Pl kicsit advancedebb user gmailt hasznal ssl-en.. Azt mokas lesz szurni.

De, lepjunk tovabb!

Miutan a trojai telepedett, egy jo ideig csak lappang, es nem csinal semmit. Nincs tunet, senki nem keresi, tobb userhez eljut, mire aktivalodna, es a viruskergetok felismernek. Akar meg azt is lehet hogy valami epp divatos jatekhoz csatoljak a trojait, akkor meg kevesbe feltuno.

Egy honap lappangas utan szepen elkezdni ellesni a jelszavakat. Megnezi peldaul, hogy a T. user gmail hasznalo-e, es ha igen, ellesi a jelszavat, s amikor epp nem bongeszik, belep o maga, es kuld egy rakas spamet.

Nincs nagy forgalom, https-en megy az egesz, usernek fel sem tunik igazan.

Ezt hogyan szurod, ISP szinten?

Persze, ez nem botnet meg, csak egy szimpla trojai. De siman bele lehet rakni olyat is, hogy parancsokat fogadjon el, nem kell hozza kulon port, eleg ha figyel a program egy ideig, megnezi fut-e valami erdekes az adott gepen, es ha igen, atveszi afolott az iranyitast, majd gmailen at hazaszol, hogy haho, ide lehet kuldeni a parancsokat. Igy geprol-gepre valtozhat a port, pl. Geprol gepre valtozhat hogy mikent lehet visszaszolni a botnet egyes nodejainak.

Sok sikert a szureshez!

(Es ez egy kb 10 perc alatt kigondolt dolog, ennel sokkal rafinaltabb modokon el lehet rejteni. Ha meg meg egy kicsit aggressziv is a cucc, akkor gyorsabban fertoz, mint ahogy fel tudod fedezni, es maris meg vagy love.)

tokmindegy mennyire valtozekony a forgalom, ha egy-ket helyrol iranyitjak az egesz bagazst. ha ki tudod deriteni a vezergepek ip cimet/cimtartomanyat, es azt kiszurod, akkor egy darabig a sajat halozatodban nyugi lesz.
ahogy a cikkben irjak, ezt a botnetet egy darabig sikerult kiutni, amikor lekapcsoltak az internetszolgaltatot, ahonnan ment a kozpont.

atmeneti megoldasnak jo, csak majdnem forditva ulunk a lovon : nem a szervert kapcsoljuk le, csak eppen a klienst nem engedjuk felkapcsolodni...

ennek a megkerülésére készültek a p2p botnetek.

Ezekben az a legjobb hogy nincs c&c gép, _bármelyik_ kliensnek kiadod a parancsot digitálisan aláírva, az végrehajtja, és továbbítja a vele kapcsolatban álló többi gépnek.

Ha a fertőzött gép ip-stackját úgy módosítod, hogy zárt/rejtett portokon logoljon mondjuk 64k bejövő forgalmat, xor-olja aküldő gép ip-jével, portjával, és a fogadó porttal, és ez a parancs, akkor gyakorlatilag forgalomanalízis legyen a talpán ami ezt megfogja.

ha vállalati hálózatod van, akkor csak https-pop3s-imaps forgalmat engedélyezel kifelé, a titkosítatlan http-pop3-imap forgalmat átereszted valami profi tűzfalon, akkor elég jó esélyel megfogod ezeket.

A storm botnet analízisét pedig ha elolvasod, akkor az 80% autofelláció/hatásvadászat, a többi pedig idejétmúlt. Lásd conficker > storm.

Én eddig azt hittem, a szakmai kérdéseken nem szokás szórakozni.

Elsősorban detektálni akarom. Ha megbízhatóan tudom detektálni, akkor az, hogy blokkoljam, igen egyszerű feladat marad. A detektálásnak pedig nem előfeltétele, hogy a vírusirtók ismerjék.

Azt, hogyha t. user bekapott egy vírust, ami a gmailen keresztül spamet terjeszt, nem az én feladatom szűrni.

De leszűkíthetem a kérdést: meg tudja mondani valaki, hogy az uceprotect honeypotjai milyen portokkal működnek?

Tehat magyarra forditva, mi itt mondhatunk neked barmit, te kitalalod hogy annak megoldasa miert nem a te feladatod. Vilagos.

Ha van egy halozatod, aminek tagjai ezerrel ontjak a spamet, van egy rakas megtort gep rajta, amit tavolrol tudnak iranyitani - a gmailes spameles az egy pelda volt, akarmi mast is csinalhat. Peldaul parancsra elkezdhet DoSolni, a gmailes szutykolas mellett. Az mar csak a te feladatod lenne, nem? :P

Hogy mikent jutott be a cucc, trojai vagy kozvetlen tamadas - teljesen lenyegtelen. Ott van, N+1 gepet megfertozott, tavolrol tudjak iranyitani, es mindenfele csunya dolgot tudnak muvelni vele. Szerintem ez kimeriti a botnet fogalmat. De... ezt nem a te feladatod szurni, mert nem kenyelmesen, adott portokon at mukodik. Ertheto.

Magyarra fordítva ne bármit mondjatok, olyat mondjatok, ami válasz a kérdésemre.
Egy gmailre menő https-t hogyan is kellene nekem bármi módon elemezni? Semmi közöm hozzá, hogy milyen levelet ad fel, közvetítő szolgáltató vagyok, nem az én dolgom a tartalom.

Oké, parancsra elkezdhet dosolni. Az hogy is néz ki? Milyen pattern?

Az én feladatom az, hogy a felhasználó értesüljön arról, hogy gond van a gépével. Ezt nekem hitelt érdemlően bizonyítanom kell. De ehhez kevés az, hogy páran itt okosságnak tűnő dolgokat mondanak, meg ocsmányul káromkodnak, ehhez konkrétumok kellenek, amelyeket adott esetben az illetékes hatóság és/vagy bíróság előtt is meg lehet védeni.

Közületek páran eddig csak engem szekáltak, a többiek nagy része a levegőbe beszélt és azt bizonygattátok, hogy hogyan nem lehet megoldani. Most jöjjön az a lemez, hogy hogyan lehet. Mert ha nem jön, az fog kiderülni, hogy nem egyedül kellene iskolapadba ülnöm, hanem többekkel.

Itt eddig egyedül siposa bizonyított. neki köszönöm.

> Egy gmailre menő https-t hogyan is kellene nekem bármi módon elemezni? Semmi közöm hozzá, hogy milyen levelet ad fel, közvetítő szolgáltató vagyok, nem az én dolgom a tartalom.

Igen. A legtobb botnet ilyen modon rejti el magat - olyan egyeb tartalomban, amihez normal esetben semmi kozod. Epp ezert nehez felderiteni. Azt, hogy egy gep elkezd DoSolni, azt nyilvan mar konnyebb eszrevenni. Ha elkezd tamadni, azt szinten. Egyszeruen statisztikat vezetsz az adott gepek "szokasairol", es ha nagyon elterot talalsz, akkor kozelebbrol meg lehet nezni. Ez az egyik modja az utolagos felderitesnek.

De ezzel nem sokat ertel el, a botnetet magat nem fogod kiutni vele. Egy gepet lekapcsolsz, hurra. Esetleg egy-ket modjat az iranyitasnak kilovod, marad meg sok.

> Közületek páran eddig csak engem szekáltak, a többiek nagy része a levegőbe beszélt és azt bizonygattátok, hogy hogyan nem lehet megoldani. Most jöjjön az a lemez, hogy hogyan lehet. Mert ha nem jön, az fog kiderülni, hogy nem egyedül kellene iskolapadba ülnöm, hanem többekkel.

Te meg bizonygatod, hogy meg lehet - de ha bemutatok neked egy olyan esetet, amikor az iranyitas egy olyan tartalomba epul, amit alapbol nem szursz, maris elhessinted, hogy nem a te dolgod. Innentol kezdve nem ertem mit akarsz ezek ellen a kartevok ellen tenni. Orvosolhatod a sebeket miutan elkezdtek DoSolni a zombi gepek, de azzal legfeljebb leszeded egy reszuket. A lappangok meg mindig ott maradnak, a botnetet nem irtottad ki.

A megoldas - elvben - nagyon egyszeru: nem engedjuk ezeket be. Ahhoz eros tartalomszures kell, meg ertelmes userek. Ha van megoldasod mindkettore, nyert ugyed van. De a nagy tapasztalat azt mutatja, hogy e ketto egyutt, nagy mennyisegu adat + user eseten nem valosithato meg. Akkor mar valakinek sikerult volna =)

A botnetet nyilván nem fogom legyakni, meg sem kísérelhetem, csak azt a részét, ami nálam fut. Ennyire nem vagyok pályakezdő.

Nem elvárás, hogy az irányítás alapján bukjon le a botnet tag. Minden módszer megfelel. Pl. a 445-ös portra történő tömeges kapcsolódás egy jó indikátor. És az sem elvárás, hogy minden botnetet vagy kártevőt megfogjon. De annál, hogy most gyakorlatilag semmi nincs, bármi jobb.

> ezt nem tudnám úgy blokkolni, hogy a vezérlő szerverek felé menő forgalmat blokkolom?
> a kérdés konkrétan az, lehet-e tudni, hogy milyen ip-ken és portokon kommunikálnak?

Ez volt az eredeti kerdesed. Megvalaszoltuk: ha a botnet egy kicsit is ugyes, akkor nem fogod tudni megmondani mely ipk fele/felol kommunikal, se azt, hogy mely portokon.

A buta botnet nem erdekes, ha vezetsz statisztikat a halozati forgalomrol, azt siman eszreveszed, es lecsapod a netrol a delikvens gepet. Forgalom monitorozas meg mindenhol kene legyen, ergo, a tool mar ott van a kezedben, annyi a teendo, hogy figyelni kell ra.

a terjedest nemnagyon tudod megakadalyozni, az mostanaban tobbnyire fertozott veblaprol, messengeren keresztul,vagy spamban erkezik.

viszont szvsz ha lesniffeled egy fertozott gep halozati forgalmat, abban konnyen megtalalhatod amikor bejelentkezik a gazdihoz a 'mi a kivansagod' kerdessel, aztan mar tuzfalon/routerben lehet szurni azt az ip-t. ( ipket )

( PunishR v | 2010. 08. 27., p – 09:10 )

tegyel fel valami vpst a virussal es nezzed szorgalmasan milyen forgalmak mennek, regebben divat volt egy vagy tobb irc serverrol vezerelni ha ugyes vagy akar tied is lehet a botnet:)