{"id":720,"date":"2014-12-06T21:46:58","date_gmt":"2014-12-06T20:46:58","guid":{"rendered":"http:\/\/under12oot.noblogs.org\/?p=720"},"modified":"2014-12-06T22:26:34","modified_gmt":"2014-12-06T21:26:34","slug":"qualcosa-su-kippo","status":"publish","type":"post","link":"https:\/\/under12oot.noblogs.org\/?p=720","title":{"rendered":"Qualcosa su kippo"},"content":{"rendered":"

Un p\u00f2 di tempo fa, circa un anno, vi avevo parlato di kippo<\/a>, un\u00a0 honeypot<\/em> ben fatto e di facile installazione\/manutenzione, tra alti e bassi, diverse installazioni\/rinunce e via dicendo nell’ ultimo mese e mezzo le cose non stanno andando come speravo<\/em>… sostanzialmente non sto trovando nulla di interessante<\/em>. Nel dettaglio c’\u00e8 sempre il solito bot<\/em> che fa sempre la stessa cosa<\/em>, vi riporto i log<\/em> cos\u00ec capite:<\/p>\n

honey@raspberrypi ~\/kippo-0.8\/log $<\/em> cat kippo.log.1 |grep 12:15:<\/strong>
\n2014-12-06 12:15:29+0000 [SSH..,14589,117.27.158.78] root trying auth password
\n2014-12-06 12:15:29+0000 [SSH..,14589,117.27.158.78] login attempt [root\/admin] failed
\n2014-12-06 12:15:29+0000 [SSH..,14588,117.27.158.78] root trying auth password
\n2014-12-06 12:15:29+0000 [SSH..,14588,117.27.158.78] login attempt [root\/123456] succeeded
\n2014-12-06 12:15:29+0000 [SSH..,14588,117.27.158.78] root authenticated with password
\n2014-12-06 12:15:29+0000 [SSH..,14588,117.27.158.78] starting service ssh-connection
\n2014-12-06 12:15:30+0000 [SSH..,14588,117.27.158.78] got channel session request
\n2014-12-06 12:15:30+0000 [SSH..,14588,117.27.158.78] channel open
\n2014-12-06 12:15:30+0000 [-] root failed auth password
\n2014-12-06 12:15:30+0000 [-] unauthorized login:
\n2014-12-06 12:15:30+0000 [SSH..,14588,117.27.158.78] asking for subsystem “sftp”
\n2014-12-06 12:15:30+0000 [SSH..,14588,117.27.158.78] {}
\n2014-12-06 12:15:30+0000 [SSH..,14588,117.27.158.78] failed to get subsystem
\n2014-12-06 12:15:31+0000 [SSH..,14588,117.27.158.78] remote close
\n2014-12-06 12:15:31+0000 [SSH..,14588,117.27.158.78] sending close 0
\nhoney@raspberrypi ~\/kippo-0.8\/log $<\/em><\/p>\n

Qui c’\u00e8 tutto l’ ultimo log, diviso in 3 parti:<\/p>\n

http:\/\/pastebin.com\/jqg0VMNs<\/a><\/p>\n

http:\/\/pastebin.com\/cUB9QCy4<\/a><\/p>\n

http:\/\/pastebin.com\/mtQVEyLG<\/a><\/p>\n

Cosa succede? Succede che una volta trovata la psw di root<\/em> il bot richieda sftp<\/em>, non trovando il servizio esce e ricomincia da capo<\/em>, trova la psw di root<\/em> e richiede il servizio di sftp<\/em>, e cos\u00ec continua in eterno!<\/em> Il che \u00e8 inutile\/ridicolo\/poco interessante….<\/p>\n

Facendo un giro in rete ho trovato altri che hanno notato<\/em> questo comportamento e quindi un fork di kippo<\/a> in cui c’\u00e8 la possibilit\u00e0 di poter abilitare sftp \u00e8 proprio quel che servirebbe<\/em> per vedere cosa c@$$o succede una volta il bot trova sto c@$$o di sftp. Se avete dato un’occhiata al log che ho linkato sopra noterete che gli accessi sono dai 5 ai 9 quotidiani<\/em> e succede sempre la stessa cosa! Demoralizzante…<\/p>\n

Facendo un reverse<\/em> possiamo vedere che la maggior parte degli attacchi proviene sempre dalla stessa botnet<\/em>.<\/p>\n

l’IP 103.41.124.15 proviene da Hong Kong<\/p>\n

il 122.225.109.103 da Huzhou, Zhejiang in China come anche il 122.225.103.95\u00a0 e il 122.225.109.106 da Huzhou in China sono tutti nella stessa rete.<\/p>\n

il 212.83.172.29 invece \u00e8 francese, e almeno che non sia gi\u00e0 rotato l’ip<\/p>\n

sudo nmap -sS -sV -O 212.83.172.29 -P0<\/em><\/p>\n

PORT\u00a0\u00a0\u00a0\u00a0\u00a0 STATE SERVICE\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 VERSION
\n135\/tcp\u00a0\u00a0 open\u00a0 msrpc\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Microsoft Windows RPC
\n445\/tcp\u00a0\u00a0 open\u00a0 netbios-ssn
\n3389\/tcp\u00a0 open\u00a0 ms-wbt-server Microsoft Terminal Service
\n49154\/tcp open\u00a0 msrpc\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Microsoft Windows RPC
\nWarning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
\nDevice type: general purpose
\nRunning: Microsoft Windows 7|8|Vista|2008
\nOS CPE: cpe:\/o:microsoft:windows_7::-:professional cpe:\/o:microsoft:windows_8 cpe:\/o:microsoft:windows_vista::- cpe:\/o:microsoft:windows_vista::sp1 cpe:\/o:microsoft:windows_server_2008::sp1
\nOS details: Microsoft Windows 7 Professional or Windows 8, Microsoft Windows Vista SP0 or SP1, Windows Server 2008 SP1, or Windows 7, Microsoft Windows Vista SP2, Windows 7 SP1, or Windows Server 2008
\nService Info: OS: Windows; CPE: cpe:\/o:microsoft:windows<\/p>\n

Probabile che sia un zombie e manco lo sappia<\/em>, infettato da qualche malware.<\/p>\n

Comunque tornando a kippo<\/em>, mi son gi\u00e0 procurato il fork con l’sftp, appena ho un attimo libero<\/em> provveder\u00f2 a sostituirlo sulla raspbian e vedremo come andr\u00e0 a finire!<\/p>\n

Stay tuned and Happy Hacking<\/span><\/p>\n

\u00a0noyse<\/em><\/p>\n

 <\/p>\n","protected":false},"excerpt":{"rendered":"

Un p\u00f2 di tempo fa, circa un anno, vi avevo parlato di kippo, un\u00a0 honeypot ben fatto e di facile installazione\/manutenzione, tra alti e bassi, diverse installazioni\/rinunce e via dicendo nell’ ultimo mese e mezzo le cose non stanno andando come speravo… sostanzialmente non sto trovando nulla di interessante. Nel dettaglio c’\u00e8 sempre il solito […]<\/p>\n","protected":false},"author":5820,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,19],"tags":[65,66,106,104,105,44],"class_list":["post-720","post","type-post","status-publish","format-standard","hentry","category-howto","category-utility","tag-honeypot","tag-kippo","tag-malware","tag-raspberry","tag-raspbian","tag-ssh"],"_links":{"self":[{"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=\/wp\/v2\/posts\/720","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=\/wp\/v2\/users\/5820"}],"replies":[{"embeddable":true,"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=720"}],"version-history":[{"count":4,"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=\/wp\/v2\/posts\/720\/revisions"}],"predecessor-version":[{"id":724,"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=\/wp\/v2\/posts\/720\/revisions\/724"}],"wp:attachment":[{"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=720"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=720"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/under12oot.noblogs.org\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=720"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}