|
|
BotnetYönetenler ve yönetilenler IRC(Internet Relay Chat) sadece kişilerin bir araya toplanıp konuştukları iletişim ağları konumundan çıkıp Bilgisayarların kontrollerinin sağlandığı ortam olarak ön plana çıkmaya başladı. Bot, genel olarak IRC ortamlarında
Konu Junk tarafından açılmış, 4504 kişi tarafından görüntülenip, 17 yanıt almış.
|
Özel Yazılım Trojan+, güncellemeli ve garantili. Sadece 690TL! Kredi kartınıza 12 taksit kolaylığı!
|
|||||||
Botnet konusundaki toplam yorum: 17, okunma sayısı: 4504. |
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
19-06-2006, 15:07
|
#1 |
|
Forum Ustası
 
Kayıt Tarihi: Mar 2005
Üye numarası: #8409 Yer: California LA
Mesaj sayısı: 5,178
Karma etkisi: 5041
  Karma: 502853
|
Botnet
Yönetenler ve yönetilenler IRC(Internet Relay Chat) sadece kişilerin bir araya toplanıp konuştukları iletişim ağları konumundan çıkıp Bilgisayarların kontrollerinin sağlandığı ortam olarak ön plana çıkmaya başladı. Bot, genel olarak IRC ortamlarında kullanılan bir terim. Bot, kendisine tanımlanan komutları belirli bir çerçevede gerçekleştiren bir programdır. Böylece IRC ortamındaki kanallar, botlar vasıtasıyla kontrolü sağlanır. Son zamanlarda Bot kavramı daha çok saldırı amaçlı kullanılan sistemler için kullanılmaya başlandı. Bu tür bilgisayarların çoğunluğunu internet kullanıcılarına ait sistemler oluşturmaktadır. Bir internet kullanıcısının sisteminde kurulu olan Windows işletim sisteminde güncel yamalar kurulu değil ise bu sistemin uzaktan kontrolü kaçınılmaz olur. Uzaktan kontrolu sağlayıp, belirli bir IRC ağına bağlanıp bir kanalda toplanmasını sağlayan çeşitli tehlikeli uygulamalar vardır. Bu tür tehlikeli programcıkların çoğu güncel sistem açıklarını bünyesinde bulundurur ve tarama modu ile IP(Internet Protocol) adreslerine göre tarama gerçekleştirirler. Tipik bir BOTNET döngüsü:  Amaç BotNet sahibi bir saldırgan aynı anda 4-5 bilgisayarı kontrol edebileceği gibi binlerce bilgisayarıda kontrol edebilir. Tehlikeli botların kullanım amaçları: DDoS şeklinde saldırılar gerçekleştirme ,SPAM ve kullanıcıların bilgisayarlarını etkileyecek zararlı programları dağıtmak ,Network trafiğini kontrol etme(sniffer) … Bir çatı altına toplanmış sistemler(kullanıcının haberi olmadan sisteme sızan tehlikeli yazılım[bot] sistemi bir IRC sunucusuna bağlar) genellikle başka bir sisteme saldırı amacıyla kullanılır. Güvenlik açığı olan bir sistem(güncel yamalardan yoksun) internet ortamına girdiğinde başka bir makine tarafından algılandığında(bu işlemi Bot yazılımının otomatik IP tarama fonksiyonu gerçekleştirir) sistem kullanıcının haberi olmadan kontrol altına alınır. Böylece bot ve güvenlik açıkları olan sistemler arasında bir diyalog başlar. Hepsinin koordinasyonunu sağlayan, Bot yazılımını düzenleyip IRC ortamında toplanmasını ayarlayan kişidir. BOTNET üzerinde araştırma yaparken dikkatimi çeken bazı noktalar oldu. Özellikle bazı sunucuların botlar için ayarlandığını gördüm. Yani; Bot, güvenlik açığı tespit ettiği sisteme atak yaparak sistemin bir sunucudan dosya(bu bot yada başka zararlı dosya olabilir) çekip otomatik olarak çalışmasını sağlar. Bu sunucu, bu işin gerçekleşmesi için daha önceden ayarlanmıştır(Resim 1). Bu açıkların çoğu işletim sistemlerinin zaaflarından yararlanılarak ortaya çıkarılmıştır(Buffer Overflow – Resim 2).   Bot Avı Güncel yamaları barındırmayan işletim sistemi ,Anti-Virus ve Firewall yazılımı kullanmayan kullanıcıların büyük çoğunluğu çeşitli saldırılara maruz kalır ve Virüs/Trojan/Solucan tehlikeleriyle baş başa kalırlar(her ne kadar anti-virüs yazılımı kullanılsa da gerekli güncellemeler yapılmazsa tehlike kapıdadır). Uzaktan kontrol sağlayan bu botlar nelerdir? Ne tür etkileri vardır? IRC üzerinden makineler nasıl kontrol edilir? Bu tür sorulara yanıtını vermeden önce tehlikeli olan bu botları nasıl tespit ettiğimi belirteyim. Bunun için modemde gerekli ayarlar yaptığımı belirtmem gerekir. Gerekli ayarlar port yönlendirme ve Firewall kısmında bulunmaktadır. Atak yapılan portların başında 139. / 135. / 445. portlar gelmektedir. Bir çok saldırı bu port üzerine gerçekleşmekte. Modem üzerinde bu portlara ilişkin ayarlar yapıldıktan sonra, Portları uygun şekilde ayarlanan honeypot sisteme yönlendirdim   Takip IRC ağına bağlanarak bir BOTNET bünyesine katılan bir sistemin işleyişinde yavaşlama meydana gelme olasılığı çoktur. Sistemin yavaşlamasında en büyük rolü, otomatik ip tarama işlemi esnasında gerçekleşir. BOTNET kurallarını kabul eden bir bilgisayar, yerel ağın(LAN) bir parçası ise sistemde bulunan bu tehlikeli bot yerel ağıda etkileyecektir(Tara --> Güvenlik açığı varsa ne türde bir açık var? --> BOTNET). Bu nedenle yerel ağdaki dosya paylaşımlarına dikkat etmek gerekir. Yerel ağda zayıf şifre politikası, botlar için mükemmel bir seçimdir. Saldırganlar sistemleri neden IRC üzerinden kontrol yolunu seçerler? • Rahat bağlantı • Kolay yönetim Saldırganın BOTNETine katılan makine uzaktan kolay kontrol edileceği için bu sistem üzerinde çalışan kullanıcı kolay takip edilebilir. Kullanıcı hangi dosya üzerinde çalışıyor, kullanıcıya ait şifrelerin alınması gibi işlemlerde gerçekleştirebilir. Ayrıca saldırgan, bilgisayarın teknik özelliklerini tek bir komutla öğrenebilir. Bir çok kullanıcı, bilgisayarlarının bir BotNetin parçası olduğunun farkına değil. Bilgisayar sahipleri çoğunlukla güncel yamalardan habersiz internete bağlanır ve sistemine entegre olan bir bot vasıtasıyla kontrolün başkasında olduğundan habersiz işlemlerini gerçekleştirmeye çalışır. Sisteme ilişkin yeni bir güvenlik açığı ortaya çıktıktan sonra bu istismarı kullanan bir botta internette kurban aramaya çıkar. Botların kullanım şekilleri birbirine çok benzer. Sistem, IRC ağına bağlanıp kanala girdiğinde(bu kanal genellikle şifrelidir) komutlarla yönetilir. Bu botlarda komutlar birbirine çok yakındır. Örneğin: .login $iFRe [MAIN]: Password accepted. .capture screen C:\ekran.jpg [CAPTURE]: Screen capture saved to: C:\ekran.jpg. .execute 1 notepad.exe [SHELL]: File opened: notepad.exe .netinfo [NETINFO]: [Type]: LAN (LAN Connection). [IP Address]: 192.168.1.32. [Hostname]: herakleia.localhost.  Botların yayılması için kullanılan bazı portlar: Plug'n'Play - TCP/445, TCP/139 RPC-DCOM - TCP/135, TCP/445, TCP/1025 LSASS - TCP/445 Arkeia - TCP/617 Veritas - TCP/6101 Veritas - TCP/10000 WINS - TCP/42 Arcserve - TCP/41523 NetBackup - TCP/13701 WebDaV - TCP/80 DameWare - TCP/6129 MyDoom-Backdoor - TCP/3127 Bagle-Backdoor - TCP/2745 IIS 5.x SSL - TCP/443 Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=69891 Sistemi tehlikeye düşüren ve botların kullandığı güvenlik açıklarına ilişkin bazı güvenlik yamaları: MS03-007 {Unchecked Buffer In Windows Component Could Cause Server Compromise} http://www.microsoft.com/technet/sec.../MS03-007.mspx MS03-026 {Buffer Overrun In RPC Interface Could Allow Code Execution} http://www.microsoft.com/technet/sec.../MS03-026.mspx MS04-011 {Security Update for Microsoft Windows} http://www.microsoft.com/technet/sec.../MS04-011.mspx MS04-045 { Vulnerability in WINS Could Allow Remote Code Execution} http://www.microsoft.com/technet/sec.../MS04-045.mspx MS01-059 {Unchecked Buffer in Universal Plug and Play can Lead to System Compromise} http://www.microsoft.com/technet/sec.../ms01-059.mspx En çok kullanılan bot örnekleri: _ Agobot _ Phatbot _ Forbot _ XtremBot Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=69891 _ SDBot _ RBot _ UrBot _ UrXBot _ GT-Bot Çeşitli portlara yapılan atakları izlemeye aldığımda, yapılan bu atakların çoğu güncel sistem açıklarını barındıran botların oluşturduğu saldırılardır. Bazı botlar sistemde çeşitli servisleri açtıktan sonra(ftp, http, tftp) güvenlik açıklarını tespit ettikleri sisteme bu servisler aracılığı dosyayı Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=69891 aktarır(Resim 3).   Yukarıdaki bilgilerde bulunan ircd / netbios bilgileri bot barındıran bir bilgisayara ait. Bot, IRC ağına bağlanıp, yerel ağda bulunan diğer sistemlere NetBios üzerinden yayılmaya çalışmaktadır. |
|
|
|
19-06-2006, 15:09
|
#2 |
|
Forum Ustası
Kayıt Tarihi: Mar 2005
Üye numarası: #8409 Yer: California LA
Mesaj sayısı: 5,178
Karma etkisi: 5041
Karma: 502853
|
        Sonuç BOTNET kontrolünü sağlan bir saldırgan aynı anda bilgisayarları kontrol ederek istediği internet adresine DDoS saldırısı gerçekleştirebilmektedir. BOTNET sahipleri kendi aralarında yada çeşitli kişilere para karşılığında makinelerin toplandığı kanalları kiralayabilir. Hatta kullandığı tehlikeli bot programını bir ücret karşılığında satma yolunu tercih etmektedir. Dikkat edilmesi gereken husular: - Antivirüs kullanın. Kullandığınız antivirüs yazılımını güncellemeyi unutmayın. - E-Posta ile gelen dosyalara devamlı şüphe ile yaklaşın. Dosya uzantısı .pif, .scr, .bat , .exe , .zip , .rar ise dikkatli olun(tanıdığınızdan gelen bir dosya olsa dahi şüpheden vazgeçmeyin). - IRC ortamında sohbet ederken dikkatli olun. Bu sohbet ortamında size verilen internet adreslerine girmeyin(bu adresler genellikle otomatik olarak IRCde kişilere gönderilir). - Dosya paylaşım programı(p2p) kullanarak bilgisayarınıza çektiğiniz dosyalara dikkat edin. Son olarak dikkat etmeniz gereken nokta; Klasör seçeneklerindeki Görünüm bölümünde bulunan “Bilinen dosya türleri için uzantıları gizle” seçeneği aktif olmasın. Böylece dosya uzantılarını görürsünüz. Bu da sizin ne tür dosyalarla uğraştığınızı anlamınıza yardımcı olur. E-Posta ile gelen dosya .doc gibi görünür ama gerçekte “Belge.doc .exe” olabilir. Kod:
Tamamı Aşağıdaki sitelerden Alıntıdır http://chaosreader.sourceforge.net/ http://www.honeypot.org/ http://www.snort.org/ http://www.ethereal.com/ http://sandbox.norman.no/ http://www.kaspersky.com/ http://www.atomicsoftwaresolutions.com/honeybot.php/ http://labs.idefense.com/labs-software.php?show=9/ |
|
|
|
|
19-06-2006, 15:23
|
#3 |
|
Forum Kalfası
Kayıt Tarihi: Jul 2005
Üye numarası: #28531 Yer: Türkiye Cumhuriyeti
Mesaj sayısı: 906
Karma etkisi: 2011
Karma: 200436
|
Litmus trojanlara benziyo ama bunu özelliği oldukça fazlaymış.. İyi paylaşım saol
|
|
|
|
|
19-06-2006, 15:49
|
#4 |
|
1st Class Helper
Kayıt Tarihi: Nov 2004
Üye numarası: #373 Yer: Ankara
Mesaj sayısı: 2,096
Karma etkisi: 372
Karma: 36242
|
Tesekkurler eski ama yararli bir dokuman. Fakat en cok kullanilan bot orneklerindeki botlarin serverlara girisini engellemek artik cok kolay. Gerci bunu yapan kisi kendine ozel bir server yapar, bu kadar bot icin server acar ama normal serverlarda bu botlarin kontrolu cok zor. Bin bir guclukle sokulan botlarin eger birde uzaktan server ayari yoksa zamanla eldeki botlar tukenir. Aslinda dokuman botlarin calisma mantigiyla ilgili, merak edenler icin guzel olmus
 . |
|
|
|
|
19-06-2006, 17:06
|
#5 |
|
Daimi Üye
Kayıt Tarihi: Jun 2006
Üye numarası: #73636 Yer: im Seni ÖSS
Mesaj sayısı: 438
Karma etkisi: 11
Karma: 564
|
Çok TEŞEKKÜR EEDRİM
emeğe saygı |
|
|
|
|
10-02-2009, 06:08
|
#6 |
|
Çırak
Kayıt Tarihi: Feb 2009
Üye numarası: #312109
Mesaj sayısı: 4
Karma etkisi: 0
Karma: 10
|
her türlü botnet yazılır
gun.gece html adresim ekleyin görüşelim |
|
|
|
|
27-05-2009, 00:13
|
#7 |
|
Cool Üye
Kayıt Tarihi: Apr 2009
Üye numarası: #321931 Yer: AntaLya
Mesaj sayısı: 189
Karma etkisi: 474
Karma: 47026
|
Pylaşım için teşekkürler emeğine sağlık
|
|
|
|
|
24-09-2009, 16:34
|
#8 |
|
Cool Üye
Kayıt Tarihi: Apr 2009
Üye numarası: #321931 Yer: AntaLya
Mesaj sayısı: 189
Karma etkisi: 474
Karma: 47026
|
teşekkürler
|
|
|
|
|
28-09-2009, 12:39
|
#9 |
|
Cool Üye
Kayıt Tarihi: Nov 2005
Üye numarası: #39125
Mesaj sayısı: 204
Karma etkisi: 255
Karma: 24807
|
Paylaşım için saol çok önemli bir konu. Peki botnet kurbanı olmak için irc'ye girmemiz mi gerekli ? yada internet explorer yada messenger dan da bulaşılabilinir mi ?
Bu program veya bu tür programlar irc deki pc leri tanıyamaz yada tarayamaz çünkü ipler gizleniyor. Botnet kurbanı yapmamız için internet sitelerinden yada msn yada mail yolluyla kurbanlarımızı buluyoruz daha sonra botnet programı ile onların pc lerine girip istediğmizi yapıyoruz, böyle midir ? |
|
|
|
|
29-09-2009, 00:48
|
#10 |
|
Daimi Üye
Kayıt Tarihi: Apr 2009
Üye numarası: #326389 Yer: premiumdeposu
Mesaj sayısı: 484
Karma etkisi: 193
Karma: 18949
|
s.a
Verılebılecek en guzel dokuman yaa cok guzel derlemıssın babacan Ellerın dert gormesın Allah Razı olsun. |
|
|
|
|
03-10-2009, 11:14
|
#11 |
|
Banned
Kayıt Tarihi: Jul 2009
Üye numarası: #352766
Mesaj sayısı: 3,840
Karma etkisi: 0
Karma: 2122231
|
Cok karısık bn bunu hayatta yapamam :S
|
|
|
|
|
29-01-2010, 03:06
|
#12 | |
|
Forum Kalfası
Kayıt Tarihi: Dec 2009
Üye numarası: #404866 Yer: MADRID
Mesaj sayısı: 793
Karma etkisi: 3094
Karma: 309118
 
|
Alıntı:
aynehn yaw  |
|
|
|
|
|
11-05-2010, 16:52
|
#13 |
|
Çırak
Kayıt Tarihi: May 2010
Üye numarası: #447185
Mesaj sayısı: 15
Karma etkisi: 0
Karma: 10
|
botnet bir tutkudur xD
|
|
|
|
|
11-05-2010, 17:55
|
#14 |
|
Forum Kalfası
Kayıt Tarihi: Dec 2009
Üye numarası: #394281 Yer: C:\WINDOWS\system32
Mesaj sayısı: 1,566
Karma etkisi: 10719
Karma: 1071568
|
Tesekkurler yararlı bir konu
 |
|
|
|
|
11-05-2010, 17:56
|
#15 |
|
Daimi Üye
Kayıt Tarihi: Dec 2008
Üye numarası: #297363
Mesaj sayısı: 490
Karma etkisi: 4491
Karma: 448770
|
mükemmel paylaşım emeğe saygı.
|
|
|
|
 |
| Şu Anda Konuyu Görüntüleyenler: 1 (0 üye ve 1 misafir) | |
| Konu Araçları | Bu Konuda Ara |
|
|
