Číňané v USA

27.4.2020 12:48 | Přečteno: 2366× | Jen tak na okraj | poslední úprava: 27.4.2020 12:51

Tak posledně jsme si povídali o zvídavých Číňanech, dnes prohodím pár slov na adresu jejich chytřejších soudruhů nainfiltrovaných do USA. Pro ty mám na svém serveru jinou specialitu. Jejich útoky totiž nejsou tak tupé, jako pokusy co jdou z říše středu.

Poznámka na okraj: Aniž bych to měl původně v úmyslu, vylezla z toho reakce na trekkerův diskuzní příspěvek pod mým posledním blogpostem na adresu Číňanů. Primárně jsem se totiž chtěl pouze podělit o svou škodolibou radost.

Tyhle sofistikované útoky nepřicházejí často – cca jednou za týden, ale vždy pouze z USA. Ǔtočník nejprve oťukává server jak rybka návnadu. Nejde po SSH, ale útočí na wiki. Jenže chlapci zřejmě v tomto případě netuší, s kým mají tu čest. Tu wiki totiž chrání rozšíření co jsem sám programoval a pochopitelně jsem při testování vyzkoušel kde co, abych zjistil kde by mohla zůstat nějaká díra. Což ovšem oni neví.

Vzhledem k tomu, že na slušné dotazy jim wiki stránky normálně vrací, nabydou dojmu, že půjde fakt o chutné sousto. Skočí po něm – a mám je na háku!

I když by stejně neuspěli, zařízene je fail2ban, který krom přísnějších pravidel pro distancování používá i několik filtrů mé vlastní provenience. A jeden z nich takového útočníka odchytí. Konkrétní kód zde neuvedu, ale můžete se stejně jako já inspirovat na stránce Regex for SQL injection a napsat si filtr vlastní. Ti méně otrkaní se při tom alespoň seznámí s tím, jak vlastně fail2ban funguje. Ostatně můj názor je, že servery které nejsou konfigurované podle jedné šablony, představují pro útočníky mnohem větší oříšek, neboť nemají křišťálové koule které by jim prozradily co udělali špatně a proč jste je sekli.

Relativně krátce poté co je seknu, je ta IP adresa definitivně mrtvá. Z toho je zřejmé, že útočníci mají strach z prozrazení, takže tu adresu považují za zkompromitovanou ihned, jakmile zjistí že se útok nepovedl. Jenže mi chodí v těchto případech bezprostřední mailový bonz, ve kterém jsou i záznamy, které tomu záseku předcházely. Takže stíhám ty adresy vytrasovat dřív, než přestanou fungovat.

Všechny končí v USA, což by mohlo budit dojem, že jde o aktivity američanů. Ale který obyvatel USA, jiného než čínského původu, by používal při oťukávání návnady browser, který používá výchozí jazyk prohlížeče "zh-CN". U té mojí wiki (na rozdíl od MediaWiki.org) se totiž nastavuje jazyk rozhraní automaticky podle výchozího nastavení prohlížeče a teprve pak si ho může anonymní uživatel přepnout do jiného jazyka.

       

Komentáře

[Aleš Kapica]

A. Opět to nějaký sinolog nedokázal překousnout

[S. Hlong]

Chudinko ublížená :'-(

[Člověk z Horní Dolní]

Dal jsem ti plus.

[Aleš Kapica]

Doufám, že ses u toho blogu alespoň zasmál. Mě tedy alespoň ta jejich snaha pobavila. Nic zajímavého pro ně totiž na tom serveru nemám, co by mělo být utajeno. Jenom nechci, aby si někdo z mého stroje dělal zombie.

[Člověk z Horní Dolní]

Tezko rict co za tim je, jestli to je nejaka Cinou sponzorovana akce nebo neco jineho, tipoval bych nejake (polo)automatizovane hledani napadnutelnych webu.

[Max]

Poslat serveru vymyšleného agenta není nic složitého, takže nějaký lang, co to posílá, nemusí nic znamenat.
Jinými slovy, jedná se o sofistikovaný útok USA, nebo sofistikovaný útok Číňanů, kteří zapomněli upravit lang u agenta? Vysvětlit to lze různě a podle mně to na nic neukazuje.
Zdar Max

[Aleš Kapica]

Číňani nejsou schopni sofistikovaných útoků – naštěstí. Kdyby byli, tak by nepotřebovali krást cizí technologie.

Jinými slovy, jedná se o sofistikovaný útok USA, nebo sofistikovaný útok Číňanů, kteří zapomněli upravit lang u agenta? Vysvětlit to lze různě a podle mně to na nic neukazuje.

Vyprávěl jsem ti Maxi, jak jsem dělal na helpdesku Atlasu? Odnesl jsem si odtamtud jedno poučení: "Ze všech vylhaných údajů je vždycky minimálně jeden pravdivý a stejný." Dnes by to bylo nemyslitelné, ale tehdy byly hesla interně uložené v plaintextu, takže jsem si mohl třeba velice rychle odseparovat účty takového uživatele na základě hesla. Nebylo vždycky stejné, ale opakoval se v něm shodný řetězec. Taková osoba měla vytvořených X účtů, které jsme nesměli zablokovat, dokud nebyly nějakým způsobem zneužity. A další poznatek: oni chtěli aby jsme na ty jejich stránky lezli. Z těch jejich mailů přímo čišelo jak se ukájí představou, že jim blokujem účet, zatím co oni už mají připraven jiný. Naivkové.

[trekker.dk]

Omyl: z čínské IP adresy jsou to Číňani, protože IP adresa je čínská. Z americké IP adresy jsou to Číňani, protože prohlížeč má lang. Prostě a jednoduše: vždycky jsou to Číňani, protože západní národy kriminalitu neprovozují.

[Aleš Kapica]

Se mi zdá, že na nás hraješ nějakou Čínu.

[Aleš Kapica]

Chápu, že bys měl velkou radost z toho vykreslit ně jako ultrarasistu, ale myslím, že náš Čankajšek by tě z toho omylu asi brzy vyvedl, protože ví líp než ty, jak se věci mají. Zastávám jednoduchou strategii: Pokud dodržuješ pravidla hry, dělej si co chceš. A nekoukám při tom kdo odkud je. Můj server, můj systém, moje pravidla. Kdo na ně přistoupí, s těmi není problém.

Ať si každý dělá co chce, ale dodržuje pravidla. Tak jsem to měl vždy – i v dobách, kdy jsem dělal "vychouše" na intru. Proto jsem taky nikdy s nikým neměl problém a chlapci neměli problém se mnou. Problém měl jen ten, kdo tohle jednoduché pravidlo neakceptoval. Což nebyl nikdo z mých svěřenců, nýbrž svěřenci kolegy, který byl zastáncem tvrdé restrikce – nesjpíš proto si mysleli, že ve chvíli kdy je pryč, pravidla neplatí. Dostali poučení a doufám, že pro celý následující život.

[trekker.dk]

Na to vykreslení si vystačíte sám...

[Aleš Kapica]

I vy.

[prqek]

Pokud dodržuješ pravidla hry, dělej si co chceš.

Uvědomuješ si, že tohel platí pro kdejakého diktátora i pro právní demokratický systém? Čili dokud neřekneš, kdo určuje ty pravidla, je to nicneříakjící výrok?

Můj server, můj systém, moje pravidla. Kdo na ně přistoupí, s těmi není problém.

[Aleš Kapica]

Jenže já ti to vzápětí řekl, jak sis sám povšimnul. A stejně tak jsem již v blogpostu uvedl, že nikoho neblokuji, dokud nezačne zkoušet nějaké brykule.

[prqek]

No právě, že všim a snažil jsem se nastínit závěr, ke kterému to vede.

[Aleš Kapica]

Žádného závěru jsem si nevšiml.

[prqek]

To mě nepřekvapuje. Nebyl tam explicitně napsán. Pouze nastíněn.

[Aleš Kapica]

V tom případě byl nastíněn asi tak jako sluneční hodiny za svitu luny.

[prqek]

[Tomáš]

Kdybych já strojil nějaký útok, tak bych všechno nechal v nějaké základní konfiguraci, takže třeba jazyk EN/US.

[Aleš Kapica]

Jenže ty nejsi číňan a s nikým nepotřebuješ komunikovat obrázkovým písmem.

[Vantomas]

Nemůžu si pomoct, ale na mě ten useragent působí jak falseflag. Už jen to, že někdo dělá sofistikovaný útoky, nepoužívá znovu IP adresy, věci zkrátka naprosto skvěle rozumí a chápe situaci a provařil se tím, že by neupravil useragenta?

[Aleš Kapica]

Dělá co umí. Dnes to kupříkladu zkoušel přes RSS kanál a šel na to přes zombie v Holandsku – nezáplatované Ubuntu 16.4

[⧠ A = 0]

Já bych volil ru_RU, bo na Rusy se to přece dá hodit vždycky, a NATO-svazáci budou mít alespoň důvod k radosti.

[-]

Na Rusy není třeba nic házet, to je národ amoralních alkoholiků, mafiánů a fasistickych a bolsevickych sviní.

[MakeIranBombedAgain❗]

třeba sou američani děsně hloupý všecko maj jakoby děravý nezabezpečený a těch dírek využívaj ruský hackeři cose za číňany jenom vydávaj a maj usa jenom jako takový proxy :O :D :D ;D

[Aleš Kapica]

Rusa bych si nikdy netroufnul podceňovat. A jakkoliv mám výhrady vůči Rusku jako státnímu útvaru, tak o kladném vztahu většiny Rusů vůči naší zemi by si netroufnul pochybovat. A pokud by si měl při rvačce vybrat jestli se postavím za Rusam nebo Číňana, tak vždy upřednostním raději toho Rusa.

[Aleš Kapica]

A aby si někdo nestěžoval, tak podle mě lže vláda USA mnohem víc než ta Ruská. Ale na pozoru bychom se měli mít před všema.

[j]

Rvačka Rusa a Číňana? - tak to bych si otevřel chipsy, sledoval a doufal, že se zrakví navzájem tak nějak spravedlivě.

[Aleš Kapica]

I v takovém případě je pak lepší stát rusovi za zády

[.]

Hod to na CSIRT, muze jit o pokus prumyslove spionaze. Jen se teda pak nediv, kdyz pak prijede kpt. Dejtotam s cernou krabickou, kterou bude chtit bodnout do serverovny.

[Aleš Kapica]

Nepotřebuji aby moje problémy řešil někdo, o kom si myslím, že by měl spíš přijít na rozumy za mnou.

[.]

To neni o reseni problemu, ale aby o tom vedeli, ze se neco takoveho deje a vedeli, jak se chovaji, jak operuji...

[Peter Golis]

Toto je perfektne a do detailov spracovaný technický zápisok. Pripomína mi redaktorov z fabulačných periodík. V zápisku sú použité ľahko stráviteľné technické termíny a logický úsudok ktorý dokresľuje význam zdelenia informácie.

Pán začal trénovať na novinky.cz alebo iné topky.sk?

[Aleš Kapica]

Pokud tě to nebaví, tak to nečti. Než začneš pindat, koukni v jaké to mám kategorii.

[Peter Golis]

Priradená kategória je "Jen tak na okraj". Ako fabulácia je to dobré, ako glosa je to slabé. Skús trošku na tom zapracovať.

[Aleš Kapica]

… ako glosa je to slabé. Skús trošku na tom zapracovať.

To by musela být tvoje kritika víc konstruktivnější.

[Peter Golis]

bola.

[Aleš Kapica]

V tom případě máme rozdílnou představu o tom co znamená konstruktivní.

Cílem blogpostu nebylo popsat jak si nastavit fail2ban, ale proč. A pokud jsi nepochopil, že tím chráním svůj server před kompromitací, tak to je mi fakt líto.

[Peter Golis]

Reagoval som na tie vyfabulované dohady o tom, že to boli Číňania nasadení v USA. A to je práve to prečo.

Je zaujímavé myslieť si, že Číňan nasadený do USA za účelom politického boja vo východnej Európe sa nebude vedieť zamaskovať ako západniar. Škrtnúť z toho tú politickú agitáciu, tak je to dobrý príklad ako zoskupiť vlastnosti útoku ktorý neprebieha tradičnou hrubou silou. Takto je to ale niečo iné, je to niečo na úrovni bulváru: "Škandál, vieme čo by sa nasledovalo keby premiér išiel na návštevu do tejto KRAJINY!"

[Aleš Kapica]

Pokud mám ze 170 pokusů nabourání se na server skoro 2/3 z Číny a i v té zbývající velká část vykazuje aspekty, které nasvědčují tomu že za tím strojem seděl Číňan, tak to není fabulace ale fakt.

Ano, jsou tady pokusy i ze strojů v jiným zemích, ale odlišit jestli útočí někdo z napadeného stroje, nebo leze z nějakého svého subnetu není zas takový problém. Napadené stroje totiž musí zachovat zdání je že vše ok, zatím co ty ze kterých útočí se pokoušejí nejrůznějšími způsoby maskovat.

A pak zde máme klasickou otázku: "Cui Bono?". A ať se na to dívám z kterékoliv strany, pokaždé mi vychází, že jedinou zemí, která může z takové činnosti profitovat je Čína.

Vy možná Čínu a Číňany obdivujete, ale já se mám před nimi pro jistotu na pozoru. Nehodlám být jednou jejich otrokem.

[Peter Golis]

Oh ďakujem za upresnenie. Nevedel som že má Čína kolónie v USA. Ale nevylučujem to po tom ako im Rusko zvolilo prezidenta.

Dal by sa do ďalšieho dielu zamontovať aj Pan Tau? To by už nieslo znaky Glosy.

[Aleš Kapica]

No. víte. On sice pan Tau nosil tvrďák, a podle všecho si asi vystačí s ťukáním na ten tvrďák, protože můj server nechává na pokoji – na rozdíl od Číňanů. Takže i když byste si to asi hodně přál, tak asi ne.

Ale zkuste napsat Filipovi, ten se s ním zná. Třeba vám něco pěkného o něm napíše.

[Radovan]

Čínsky je popsané páté patro v Langley.