Packet Strider (v0.21)

Résumé

packetStrider pour SSH est un outil de forensic réseau qui vise à fournir des informations précieuses sur la nature du trafic SSH, éclairant les recoins du trafic réseau SSH où des pépites d’or d’informations reposaient auparavant dans l’obscurité.

Le problème que packet strider cherche à résoudre (alias Pourquoi ?)

SSH est évidemment chiffré, mais des informations contextuelles précieuses existent toujours dans le trafic réseau qui peuvent contribuer aux TTP, à l’intention, au succès et à l’ampleur des actions sur les objectifs. Il peut même exister des situations où un contexte précieux n’est pas disponible ou a été supprimé des hôtes, et donc disposer d’une capture réseau passive immuable et inaltérable donne un contexte forensique supplémentaire. "Les paquets ne mentent pas".

Parallèlement au contexte forensique, les prédictions de packet strider pourraient également être utilisées de manière active, par exemple pour shun/RST les connexions forward si une fonctionnalité d’initiation de session SSH inverse tunnelisée est prédite à l’intérieur, avant même que l’authentification inverse ne soit proposée.

Les grandes techniques de packet strider (alias Comment ?)

• Construit un ensemble de caractéristiques riche sous forme de dataframes pandas. Plus de 40 caractéristiques sont conçues à partir de métadonnées de paquets telles que le contenu des messages du protocole SSH, les statistiques normalisées, la direction, la taille, la latence et les caractéristiques de fenêtre glissante.
• Parcourt cet ensemble de caractéristiques de nombreuses fois en utilisant des fenêtres glissantes (inspiré des réseaux de neurones convolutifs) pour prédire :
  • L’utilisation de l’option -R dans la session forward – c’est ce qui permet une connexion inverse plus tard dans la session. Cet artefact est découvert très tôt dans la session, juste après l’authentification de la session forward. C’est le premier signe d’alerte disponible que des sessions inverses sont possibles.
  • L’initiation de la session SSH inverse, cela peut se produire à tout moment (tôt ou tard) dans la session forward. Cela est découvert avant que la session inverse ne soit authentifiée avec succès. C’est le deuxième signe d’alerte, indiquant qu’une session inverse vient d’être demandée et configurée pour l’authentification.
  • Succès et/ou échec de l’authentification de la session inverse. C’est le troisième et dernier signe d’alerte, après quoi vous savez que quelqu’un est sur votre hôte, dans une session inverse.
  • L’utilisation de l’option -A (SSH Agent Forwarding), qui permet au client de partager ses clés privées SSH locales avec le serveur. Cette fonctionnalité est généralement considérée comme dangereuse. Références : https://matrix.org/blog/2019/05/08/post-mortem-and-remediations-for-apr-11-security-incident https://skylightcyber.com/2019/09/26/all-your-cloud-are-belong-to-us-cve-2019-12491/ https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12491
  • Toutes les prédictions et rapports de métadonnées par flux.
  • Humain ou scripté, basé sur les deltas de timing.
  • Le serveur est-il déjà connu du client ? ou s’agit-il de la première connexion entre les deux ? Ceci est déterminé par les deltas de paquets associés à known_hosts.
  • Si une authentification par certificat client ou par mot de passe a été utilisée, et si la longueur du mot de passe est de 8 caractères ou moins.
  • Frappes clavier, pression de la touche Suppr, pression de la touche Entrée (couper-coller et haut/bas sont YMMV/expérimentaux).
  • Prédictions de mouvements de données d’exfiltration/infiltration dans les sessions Forward et Reverse.
  • Fonctionne sur les sessions interactives ainsi que sur les applications de transfert de fichiers SSH basées sur des fichiers (par exemple scp, putty, cyberduck, etc.).

Pour commencer

Python3 a été utilisé, et vous aurez besoin des modules suivants (YMMV sur python2)

pip3 install pandas matplotlib pyshark

Utilisation :

python3 packetStrider-ssh.py -h

Sortie :

usage: packetStrider-ssh.py [-h] [-f FILE] [-n NSTREAM] [-m] [-k] [-p]
                             [-z ZOOM] [-d DIRECTION] [-o OUTPUT_DIR]
                             [-w WINDOW] [-s STRIDE]

packetStrider-ssh is a packet forensics tool for SSH. It creates a rich
feature set from packet metadata such SSH Protocol message content, direction,
size, latency and sequencing. It performs pattern matching on these features,
using statistical analysis, and sliding windows to predict session initiation,
keystrokes, human/script behavior, password length, use of client
certificates, context into the historic nature of client/server contact and
exfil/infil data movement characteristics in both Forward and Reverse sessions

optional arguments:
  -h, --help            show this help message and exit
  -f FILE, --file FILE  pcap file to analyze
  -n NSTREAM, --nstream NSTREAM
                        Perform analysis only on stream n
  -m, --metaonly        Display stream metadata only
  -k, --keystrokes      Perform keystroke prediction
  -p, --predict_plot    Plot data movement and keystrokes
  -z ZOOM, --zoom ZOOM  Narrow down/zoom the analysis and plotting to only
                        packets "x-y"
  -d DIRECTION, --direction DIRECTION
                        Perform analysis on SSH direction : "forward",
                        "reverse" OR "both"
  -o OUTPUT_DIR, --output_dir OUTPUT_DIR
                        Directory to output plots
  -w WINDOW, --window WINDOW
                        Sliding window size, # of packets to side of window
                        center packet, default is 2
  -s STRIDE, --stride STRIDE
                        Stride between sliding windows, default is 1

Exemple

Le pcap "forward_reverse.pcap" provient d’une TTP courante de shell SSH inverse, un favori des équipes rouges partout. Plus précisément, les commandes suivantes ont été utilisées, pour mettre en évidence les capacités de packet strider de manière simple :

• Connexion forward depuis la victime
  • La commande pour la session forward était ssh [email protected] -R 31337:localhost:22 qui lie le port local 31337 prêt pour la connexion SSH inverse vers le PC victime. Cette connexion peut être réalisée de nombreuses manières, y compris manuellement, par une RCE, SSRF, ou une forme de persistance. Pour les besoins de cette démo, il s’agit d’une session forward manuelle standard.
  • Ce n’était PAS la première fois que le client voyait le serveur, nous le constatons car le delta pour les paquets associés était très petit, l’empreinte de la clé du serveur était déjà dans le known_hosts du client, donc l’utilisateur n’a pas été invité à l’ajouter – ce qui aurait augmenté la latence des paquets.
  • Deux échecs consécutifs de connexion par mot de passe par un humain, suivis d’une connexion réussie avec un mot de passe de 8 caractères ou plus.
  • ls est tapé dans la session forward, dans cette séquence : 'l' 'w' 'w' 'back-space' 'back-space' 's' puis entrée. La taille totale des données transmises sur le réseau (comme sortie de ls) est classée comme infiltration, étant donné qu’elle est entrante.