कैसे मैंने एक बोटनेट पर हावी एक स्मार्ट घर पाया

इंटरनेट पर, "मेरे राउटर, कंप्यूटर, आईपी-कैमरा या किसी अन्य डिवाइस के बॉटनेट का हिस्सा है?" इसने मुझे अपने अभ्यास से बॉटनेट से टकराने के कुछ मामलों में से एक के बारे में बात करने के लिए प्रेरित किया।



संदिग्ध ट्रैफ़िक का अध्ययन करते हुए, मैं राउटर के आईपी पते पर आया, जिसमें एसएसएच के माध्यम से मेरे हनीपॉट से जुड़ने के असफल प्रयास किए गए थे। /Var/log/auth.log में मैंने यह देखा:

... Oct 9 23:52:04 dvrh sshd[3523]: Failed password for root from 129.***.***.29 port 35276 ssh2 Oct 9 23:52:04 dvrh sshd[3523]: Connection closed by authenticating user root 129.***.***.29 port 35276 [preauth] Oct 9 23:52:05 dvrh sshd[3525]: Connection closed by authenticating user root 129.***.***.29 port 35278 [preauth] Oct 9 23:52:06 dvrh sshd[3529]: Failed password for root from 129.***.***.29 port 35280 ssh2 Oct 9 23:52:06 dvrh sshd[3529]: Connection closed by authenticating user root 129.***.***.29 port 35280 [preauth] Oct 9 23:52:06 dvrh sshd[3531]: Invalid user admin from 129.***.***.29 port 35282 Oct 9 23:52:07 dvrh sshd[3531]: Failed password for invalid user admin from 129.***.***.29 port 35282 ssh2 Oct 9 23:52:07 dvrh sshd[3531]: Connection closed by invalid user admin 129.***.***.29 port 35282 [preauth] Oct 9 23:52:08 dvrh sshd[3533]: Invalid user test from 129.***.***.29 port 35286 Oct 9 23:52:11 dvrh sshd[3533]: Failed password for invalid user test from 129.***.***.29 port 35286 ssh2 Oct 9 23:52:11 dvrh sshd[3533]: Connection closed by invalid user test 129.***.***.29 port 35286 [preauth] Oct 9 23:52:11 dvrh sshd[3535]: Invalid user test from 129.***.***.29 port 35288 Oct 9 23:52:12 dvrh sshd[3535]: Failed password for invalid user test from 129.***.***.29 port 35288 ssh2 Oct 9 23:52:12 dvrh sshd[3535]: Connection closed by invalid user test 129.***.***.29 port 35288 [preauth] Oct 9 23:53:12 dvrh sshd[3537]: Invalid user admin from 129.***.***.29 port 35290 Oct 9 23:53:12 dvrh sshd[3537]: Connection closed by invalid user admin 129.***.***.29 port 35290 [preauth] ... 

निष्कर्ष मुश्किल नहीं था: किसी ने मानक लॉगिन और पासवर्ड के सेट का उपयोग करके मेरे सर्वर तक पहुंचने की कोशिश की। इसके अलावा (समय अंतराल द्वारा देखते हुए) यह स्वचालित मोड में किया गया था। इसका मतलब यह है कि सबसे अधिक संभावना यह एक और राउटर है जो बॉटनेट का सदस्य है।

वास्तव में, यह चित्र खुले 22 पोर्ट वाले मेजबानों के लिए विशिष्ट है। आप इसे स्वयं सत्यापित कर सकते हैं: बाहरी इंटरनेट से पहुंच के लिए खुला ssh, पासवर्ड प्रविष्टि की अनुमति देता है, और बॉट आपका इंतजार नहीं करेंगे। इसी समय, ~ 80% प्रयास चीन के होंगे।

सौभाग्य से, कुछ समय बाद, मैं मानक लॉगिन और पासवर्ड में से एक का उपयोग करके ssh के माध्यम से इस बदकिस्मत आईपी का उपयोग करने में कामयाब रहा (आश्चर्य की बात है; मैं नहीं करता)। लेकिन यह पता चला कि यह कोई साधारण राउटर नहीं है, लेकिन कुछ डिवाइस जिसे कैलिक्स गिगास्पायर कहा जाता है।

Calix GigaSpire EXOS ऑपरेटिंग सिस्टम के तहत एक स्मार्ट होम कंट्रोल सिस्टम है। GigaSpire में निम्नलिखित विशेषताएं शामिल हैं:

• समर्थन वाई-फाई 6 (802.11ax), 8x8 @ 5 GHz और 4x4 के साथ 2.4 GHz पर
• मल्टी गीगाबिट सर्विस
• स्तर 2 और स्तर 3 सेवाएं
• कैलिक्स सपोर्ट क्लाउड द्वारा प्रबंधित
• IoT समर्थन (ब्लूटूथ कम ऊर्जा, Zigbee 3.0 और Z- वेव प्रो)
• अमेज़न एलेक्सा वॉयस असिस्टेंट

पहली चीज जो मैंने की, सिस्टम में लॉग इन करते हुए, मैंने कुछ दिलचस्प खोजने के लिए चल रही प्रक्रियाओं की सूची देखी। और यह "कुछ दिलचस्प" इस तरह देखा:

 [router] / # ps ... 2978 root 1444 S {kkbs2l3mdqjq} ipjq2njq5qjq 9729 root 1584 S {kkbs2l3mdqjq} ipjq2njq5qjq 14871 root 5532 S {hgoj42jadsjvebc} m6ojj5oj5gojj2h08b8l 19037 root 308 S {hgoj42jadsjvebc} m6ojj5oj5gojj2h08b8l 19041 root 284 S {hgoj42jadsjvebc} m6ojj5oj5gojj2h08b8l ... 

संदेह इन प्रक्रियाओं के नामों की "यादृच्छिकता" है। यह समझने के लिए कि ये प्रक्रियाएं क्या हैं, मैं सुझाव देता हूं कि फाइल सिस्टम क्या / क्या है:

procfs एक विशेष फाइल सिस्टम है जिसका उपयोग UNIX- जैसे ऑपरेटिंग सिस्टम पर किया जाता है। आपको सिस्टम प्रक्रियाओं के बारे में जानकारी कर्नेल से एक्सेस करने की अनुमति देता है। Ps, w, top जैसे कमांड को निष्पादित करने के लिए आवश्यक है। यह आमतौर पर / खरीद पर मुहिम शुरू की जाती है। इस निर्देशिका से आप अपने सिस्टम के बारे में कोई भी जानकारी प्राप्त कर सकते हैं। उदाहरण के लिए, वर्तमान में कितनी स्वैप मेमोरी का उपयोग किया जा रहा है, प्रोसेसर कैश आकार कितना बड़ा है, जो कर्नेल मॉड्यूल लोड किए गए हैं, कितने डिस्क या विभाजन उपलब्ध हैं, आदि।

हम ऐसी निर्देशिकाओं में रुचि रखते हैं जिनमें संदिग्ध प्रक्रियाओं के बारे में जानकारी मिली हो। उनके पास फॉर्म / proc / PID है, जहां PID उस प्रक्रिया की आईडी है जिसके लिए इस निर्देशिका में जानकारी है। यदि आप उनकी सामग्री को देखते हैं, तो आप निम्नलिखित फाइलें पा सकते हैं:

• cmdline - उस कमांड को सम्‍मिलित करता है जिसके साथ प्रक्रिया शुरू की गई थी, साथ ही साथ पैरामीटर इसे पास किया गया था
• cwd - प्रक्रिया की वर्तमान कार्यशील निर्देशिका का प्रतीकात्मक लिंक
• exe - निष्पादन योग्य फ़ाइल के लिए लिंक
• root - रूट फोल्डर का लिंक
• पर्यावरण - प्रक्रिया के लिए उपलब्ध पर्यावरण चर
• fd - इसमें फ़ाइल डिस्क्रिप्टर, फाइलें और डिवाइस शामिल हैं जो प्रक्रिया का उपयोग करता है
• मानचित्र , प्रतिमा , और मेम - प्रक्रिया स्मृति जानकारी
• स्टेट , स्टेटस - प्रोसेस स्टेटस

हम इसके बारे में क्या कर सकते हैं? पहली बात जो मन में आती है वह निष्पादन योग्य फ़ाइलों में से एक के चेकसम की गणना करना और इंटरनेट पर मैचों की तलाश करना है:

 / # md5sum /proc/2978/exe d204e97ac15a6d0a3ed7e415edfa582e /proc/2978/exe 

मैंने इस md5 को मिराई चेकसमों की सूची में पाया, जो फ़ाइल की उत्पत्ति की प्रकृति को इंगित करता है। लेकिन अब हम क्या कर सकते हैं? मिराई बॉट से छुटकारा पाने के लिए, बस राउटर को पुनरारंभ करें। लेकिन इस मामले में, यह बेकार है, क्योंकि एक नया मैलवेयर जल्द ही एक साधारण पासवर्ड के साथ एक राउटर पर चढ़ जाएगा, और किसी और के पासवर्ड को बदलना एक अतिरिक्त है, आप जानते हैं कि क्या।