搜索

[13809] 2019-02-28_对恶意树莓派设备的取证分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-28_对恶意树莓派设备的取证分析 对 恶 意 树 莓 派 设 备 的 取 证 分 析 周 大 涛   F r e e B u f   2 0 1 9 - 0 2 - 2 8 上 周 ， 我 收 到 了 一 位 同 事 发 来 的 图 片 。
我 让 他 拔 掉 电 源 插 头 ， 把 它 储 存 在 一 个 安 全 的 地 方 ， 拍 下 所 有 部 件 的 照 片 ， 然 后 用 S D 卡 制 作 镜 像 ( 因 为 我 大 部 分 时 间 都 在 远 程 工 作 ) 。 我 做 过 很 多 树 莓 派 的 项 目 ， 我 相 信 我 能 找 到 它 的 作 用 。 3 个 部 分 个 部 分
1 . R a s p b e r r y   P i   b 第 一 代 2 . 一 个 神 秘 的 U S B 加 密 狗 3 . 一 张 1 6 G B 的 S D 卡 （ 速 度 很 快 ） 要 做 的 第 一 件 事 ： 询 问 每 个 可 以 访 问 此 网 络 的 人 ， 因 为 能 够 进 入 的 人 数 非 常 有 限 。 只 有 4 个 人 ： 1 . 管 理 者 2 . 地 勤 人 员 3 . 我 的 同 事 我 他 们 都 不 知 道 这 一 点 ， 所 以 我 问 我 的 I T 同 事 ， 他 们 和 我 一 样 困 惑 。 我 听 说 人 们 得 到 报 酬 ， 把 这 样 的 东 西 放 在 他 们 不 应 该 的 地 方 ， 因 此 我 很 想 知 道 它 实 际 上 做 了 什 么 。
U S B 加 密 狗 是 什 么 ？ 加 密 狗 是 什 么 ？ 为 了 帮 助 我 解 决 这 个 问 题 ， 我 问 了 r e d d i t ， 当 然 他 们 确 定 加 密 狗 是 一 个 微 处 理 器 ， 几 乎 和 R a s b e r r y   P i 本 身 一 样 强 大 ： n R F 5 2 8 3 2 - M D K 。 一 个 非 常 强 大 的 w i f i ， 蓝 牙 和 R F I D 阅 读 器 。 毫 无 疑 问 ， 这 是 为 了 给 老 树 莓 派 提 供 w i f i 和 蓝 牙 连 接 。 太 好 了 ， 现 在 这 个 东 西 也 有 w i f i 了 。 S D 卡 镜 像 卡 镜 像 S D 卡 有 几 个 分 区 。 大 多 数 e x t 4 （ l i n u x ） 和 一 个 f a t 1 6 （ b o o t ） 我 的 d e b i a n 盒 子 告 诉 了 我 第 一 个 重 要 的 线 索 : 这 是 一 个 r e s i n 装 置 ：
W T F   i s   R e s i n ？ ？ R e s i n （ 现 在 更 名 为 B a l e n a ） 是 一 个 付 费 的 I O T   W e b 服 务 ， 您 可 以 在 其 中 为 I O T 设 备 生 成 镜 像 ， 部 署 这 些 设 备 并 从 r e s i n 中 获 取 更 新 和 数 据 。 R e s i n 还 在 设 备 上 安 装 V P N ， 以 便 安 全 地 传 输 收 集 的 数 据 。 很 明 显 ， 这 款 设 备 注 定 会 被 再 次 使 用 ， 因 为 它 会 留 下 痕 迹 ， 因 为 它 的 服 务 是 付 费 的 。 分 区 有 猫 腻 分 区 有 猫 腻 第 一 个 分 区 叫 做 “ r e s i n - b o o t ” ： ： 看 到 吸 引 你 眼 球 的 东 西 ？ 我 们 发 现 有 一 个 。 我 们 可 以 从 这 个 文 件 中 提 取 什 么 ： c o n f i g . j s o n
部 署 到 该 r e s i n 设 备 的 应 用 程 序 称 为 “ l o g g e r ” 。 。 不 是 一 个 好 兆 头 ； 我 们 有 一 个 u s e r n a m e 。 这 似 乎 是 与 此 设 备 关 联 的 r e s i n 帐 户 的 用 户 名 ； 确 认 设 备 通 过 端 口 4 4 3   使 用 V P N ； ； 注 册 日 期 。 它 是 在 2 0 1 8 年 5 月 月 1 3 日 日 注 册 （ 或 首 次 部 署 或 设 置 ？ ） 。 关 于 该 用 户 名 关 于 该 用 户 名 当 我 用 g o o g l e d 搜 索 在 c o n f i g . j s o n 文 件 中 找 到 的 那 个 用 户 名 ， 我 在 同 一 个 城 镇 找 到 了 一 个 找 到 此 P i 的 人 。 然 后 该 公 司 检 查 了 他 们 的 记 录 ， 但 没 有 找 到 任 何 结 果 。 奇 怪 的 是 ， 我 在 2 0 0 1 年 找 到 了 一 个 网 站 ， 其 中 “ 有 天 赋 的 孩 子 ” 的 父 母 写 了 关 于 他 们 的 文 章 ， 并 且 出 于 某 种 原 因 用 他 们 的 家 庭 住 址 和 电 话 号 码 签 署 这 些 文 章 。 所 以 我 有 一 个 名 字 和 整 个 家 庭 的 地 址 。 这 可 能 是 一 个 错 误 的 引 导 ， 因 为 用 户 名 往 往 被 多 人 使 用 ， 但 让 我 们 记 住 这 个 名 字 。 r e s i n - d a t a 数 据 目 录 没 有 存 储 任 何 数 据 （ 如 ： 收 集 的 数 据 ） ， 但 是 有 一 个 n o d e j s 应 用 程 序 被 严 重 混 淆 ， 直 到 今 天 我 还 无 法 确 切 知 道 它 在 做 什 么 。 它 似 乎 通 过 串 口 连 接 到 加 密 狗 ， 但 我 无 法 提 取 实 际 收 集 的 数 据 。 我 只 能 假 设 它 收 集 了 该 区 域 （ 经 理 办 公 室 周 围 ） 的 蓝 牙 和 w i f i 设 备 的 移 动 配 置 文 件 ， 并 且 可 能 是 原 始 的 无 线 数 据 包 。 但 我 发 现 了 一 些 更 有 趣 的 东 西 ： 一 个 文 件 ： 奇 怪 ， 为 什 么 这 个 n o d e j s 应 用 会 包 含 一 个 机 密 软 件 ？ 我 从 版 权 页 上 谷 歌 了 一 下 ， 你 猜 怎 么 着 ？ 除 了 我 之 外 ， 为 什 么 公 司 的 联 合 创 始 人 会 在 城 镇 周 围 分 发 这 些 设 备 呢 ？ 获 取 攻 击 者 的 家 庭 住 址 获 取 攻 击 者 的 家 庭 住 址 我 发 现 的 另 一 个 非 常 有 趣 的 事 情 是 路 径 中 第 三 个 分 区 上 的 文 件 。 该 文 件 名 为 r e s i n - w i f i - 0 1 。 L I C E N S E . m d r e s i n - s t a t e / r o o t - o v e r l a y / e t c / N e t w o r k M a n a g e r / s y s t e m - c o n n e c t i o n s /
它 包 含 w i f i 的 w i f i 凭 证 ， 用 于 设 置 设 备 （ 或 测 试 它 ） 。 绝 对 不 是 公 司 的 无 线 网 络 。 当 我 们 想 要 找 到 与 w i f i 名 称 相 关 的 位 置 时 ， 我 们 该 怎 么 办 ？ 我 们 去 w i g l e . n e t ， 输 入 S S I D （ =   w i f i 名 称 ） ， 它 会 告 诉 我 们 在 世 界 的 哪 个 地 方 可 以 找 到 它 。 你 猜 怎 么 着 ？ 我 们 找 到 那 个 天 才 父 母 的 地 址 了 吗 ？ 根 据 W i g l e . n e t ， P i 就 是 在 这 里 建 立 的 。 后 果 后 果 我 查 看 了 D N S 日 志 ， 找 到 了 P i 首 次 在 网 络 中 看 到 的 确 切 日 期 和 时 间 。 我 检 查 了 R A D I U S 日 志 以 查 看 当 时 哪 个 员 工 在 该 处 所 ， 并 且 我 看 到 多 个 错 误 消 息 ， 已 停 用 的 帐 户 尝 试 连 接 到 w i f i 。 这 个 已 停 用 的 帐 户 属 于 前 雇 员 （ 由 于 某 种 原 因 ） 与 管 理 层 达 成 协 议 ， 他 可 能 仍 然 拥 有 一 个 密 钥 几 个 月 ， 直 到 他 将 所 有 东 西 搬 出 大 楼 。 现 在 怎 么 办 现 在 怎 么 办 法 律 已 经 接 管 ， 我 尽 了 自 己 的 责 任 ， 其 余 的 都 超 过 了 我 的 工 资 等 级 。 对 我 而 言 ， 这 是 一 个 非 常 有 趣 的 挑 战 ， 我 要 感 谢 r e d d i t 上 的 每 个 人 ， 他 帮 助 我 完 成 了 一 个 难 题 。 * 参 考 来 源 ： h a s c h e k ， 由 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理