RansomWatch

RansomWatch هي أداة مراقبة مواقع تسريب الفدية. تقوم بجمع جميع الإدخالات من مواقع تسريب الفدية المختلفة، وتخزين البيانات في قاعدة بيانات SQLite، وإرسال الإشعارات عبر Slack أو Discord عند ظهور ضحية جديدة أو عند إزالة ضحية.

ملاحظة: لا يتم تحديث RansomWatch بنشاط لأحدث المواقع، ويعتمد بشكل كبير على مساهمات الطرف الثالث. يُرجى فتح طلب سحب (pull request) و/أو إرسال رسالة خاصة لي على Twitter.

الإعداد

في المجلد config_vol/، يُرجى نسخ config.sample.yaml إلى config.yaml، وإضافة ما يلي:

• عناوين URL لمواقع التسريب. قررت عدم جعل هذه القائمة عامة لمنعها من اكتساب المزيد من الشهرة السيئة، لذا إذا كانت لديك، أضفها. وإلا، فهذه الأداة ليست لك.
  • للحصول على عنوان Hive API onion، قم بتحميل موقعهم الرئيسي واضغط على F12 لاستخدام أدوات المطور. ابحث عن طلبات XHR، يجب أن ترى بعضها إلى نطاق onion مثل hiveapi....
• وجهات الإشعارات. يدعم RansomWatch حالياً الإشعار عبر ما يلي:
  • Slack: اتبع هذه التعليمات لإضافة تطبيق جديد إلى مساحة عمل Slack الخاصة بك وأضف رابط webhook إلى الإعدادات.
  • Discord: اتبع هذه التعليمات لإضافة تطبيق جديد إلى خادم Discord الخاص بك وأضف رابط webhook إلى الإعدادات.
  • Teams: اتبع هذه التعليمات لإضافة تطبيق جديد إلى قناة Teams الخاصة بك وأضف رابط webhook إلى الإعدادات.

بالإضافة إلى ذلك، هناك بعض متغيرات البيئة التي قد تحتاج إلى تعيينها:

• RW_DB_PATH: المسار لقاعدة بيانات SQLite المستخدمة
• RW_CONFIG_PATH: المسار إلى ملف config.yaml

كلا هذين المتغيرين مضبوطان في ملف docker-compose.yml المقدم.

الاستخدام

تم تصميم هذه الأداة لتشغيلها في Docker عبر وظيفة cronjob على الفاصل الزمني الذي تختاره.

أولاً، قم ببناء الحاوية: docker-compose build app

ثم، أضفها إلى crontab الخاص بك. مثال على إدخال crontab (يعمل كل 8 ساعات):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

إذا كنت تفضل، يمكنك استخدام الصورة المنشورة على Docker Hub (captaingeech/ransomwatch) بدلاً من ذلك، مع ملف docker-compose.yml يشبه هذا:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

يمكن تشغيل هذا أيضاً عبر سطر الأوامر، لكن ذلك يتطلب منك تشغيل وكيل Tor الخاص بك (مع خدمة التحكم). مثال على التنفيذ:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

أمثلة على رسائل Slack

الرسائل المرسلة إلى Discord و Teams متشابهة جداً في الأسلوب، ومتطابقة في المحتوى.

تنفيذات مواقع التسريب

المواقع التالية مدعومة:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

إذا كانت هناك مواقع تسريب أخرى تريد تنفيذها، فلا تتردد في فتح طلب سحب (PR) أو إرسال رسالة خاصة لي على Twitter، @captainGeech42.