RansomWatch

RansomWatch ist ein Überwachungstool für Ransomware-Leak-Seiten. Es durchsucht alle Einträge auf verschiedenen Ransomware-Leak-Seiten, speichert die Daten in einer SQLite-Datenbank und sendet Benachrichtigungen über Slack oder Discord, wenn ein neues Opfer auftaucht oder ein Opfer entfernt wird.

Hinweis: RansomWatch wird nicht aktiv für die neuesten Seiten aktualisiert und ist hauptsächlich auf Beiträge Dritter angewiesen. Bitte erstellen Sie einen Pull-Request und/oder senden Sie mir eine DM auf Twitter.

Konfiguration

Kopieren Sie in config_vol/ bitte config.sample.yaml in config.yaml und fügen Sie Folgendes hinzu:

• URLs der Leak-Seiten. Ich habe mich entschieden, diese Liste nicht öffentlich zu machen, um zu verhindern, dass sie noch mehr Bekanntheit erlangen. Wenn Sie sie haben, fügen Sie sie hinzu. Wenn nicht, ist dieses Tool nicht für Sie.
  • Um die Hive-API-Onion zu erhalten, laden Sie deren Hauptseite und drücken Sie F12, um die Entwicklertools zu verwenden. Suchen Sie nach XHR-Anfragen, Sie sollten einige zu einer hiveapi...-Onion-Domain sehen.
• Benachrichtigungsziele. RansomWatch unterstützt derzeit Benachrichtigungen über die folgenden Dienste:
  • Slack: Befolgen Sie diese Anweisungen, um eine neue App zu Ihrem Slack-Workspace hinzuzufügen, und fügen Sie die Webhook-URL in die Konfiguration ein.
  • Discord: Befolgen Sie diese Anweisungen, um eine neue App zu Ihrem Discord-Server hinzuzufügen, und fügen Sie die Webhook-URL in die Konfiguration ein.
  • Teams: Befolgen Sie diese Anweisungen, um eine neue App zu Ihrem Teams-Kanal hinzuzufügen, und fügen Sie die Webhook-URL in die Konfiguration ein.

Zusätzlich gibt es einige Umgebungsvariablen, die Sie möglicherweise setzen müssen:

• RW_DB_PATH: Pfad für die zu verwendende SQLite-Datenbank
• RW_CONFIG_PATH: Pfad zur config.yaml-Datei

Beide sind in der bereitgestellten docker-compose.yml gesetzt.

Verwendung

Dies soll in Docker über einen Cronjob in dem von Ihnen gewählten Intervall ausgeführt werden.

Erstellen Sie zuerst den Container: docker-compose build app

Fügen Sie es dann Ihrer Crontab hinzu. Beispiel-Crontab-Eintrag (alle 8 Stunden ausführen):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

Wenn Sie bevorzugen, können Sie stattdessen das auf Docker Hub veröffentlichte Image (captaingeech/ransomwatch) verwenden, mit einer docker-compose.yml wie dieser:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

Dies kann auch über die Befehlszeile ausgeführt werden, erfordert jedoch einen eigenen laufenden Tor-Proxy (mit dem Kontrolldienst). Beispielausführung:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

Beispiel-Slack-Nachrichten

Die an Discord und Teams gesendeten Nachrichten sind im Stil sehr ähnlich und im Inhalt identisch.

Implementierte Leak-Seiten

Die folgenden Leak-Seiten werden unterstützt:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

Falls Sie andere Leak-Seiten implementiert haben möchten, können Sie gerne einen PR erstellen oder mir auf Twitter eine DM senden, @captainGeech42.