InfraHunter

Jage aktiv nach Angreifer-Infrastruktur, indem du Shodan-Ergebnisse mit URLScan-Daten filterst.

Voraussetzungen

• Shodan-API-Schlüssel
• URLScan-API-Schlüssel
• python3 -m pip install -r requirements.txt

Verwendungsbeispiele

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

Integrierte Abfragen

Du kannst vorgefertigte Abfragen verwenden, indem du ihren Namen mit -q angibst. Um alle integrierten Abfragen aufzulisten, führe python .\hunter.py -l aus.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

Du kannst mit -d, --discord auch eine URL zu einem Discord-Webhook angeben. Die Ergebnisse werden dann an diesen Webhook gesendet, anstatt in einem Browser geöffnet zu werden.

Wie funktioniert es?

1. Durchsuche Shodan mit der Abfrage, die über -q, --query angegeben wurde.
2. Übermittle jede Kombination aus IP/Port/Protokoll und Domain/Port/Protokoll an URLScan.
   • Wenn es mehrere offene Ports hat, werden alle Ports übermittelt.
   • Übermittelt http- und https-URLs.
   • Gleicher Prozess für alle Domains.
3. Für jedes URLScan-Ergebnis
   • Prüfen, ob die gescannte Seite einen HTTP-OK-Status (200) zurückgegeben hat.
   • Prüfen, ob in den URLScan-Ergebnissen ein Screenshot der Webseite vorhanden ist.
   • Das Bild herunterladen, seinen SHA256-Wert berechnen und das Bild löschen.
   • Den SHA256-Wert mit einer Liste auszuschließender Hashes abgleichen (diese Liste enthält Dinge, die ich als nicht bösartig eingestuft habe, aber ich habe vor, eine Möglichkeit zu schaffen, diese Prüfung zu umgehen) (die Liste existiert, weil ich mit diesem Tool regelmäßig auf Jagd gehe).
   • Für jedes verbleibende Ergebnis, das nicht durch die Hash-Prüfung ausgeschlossen wurde, das Ergebnis zurückgeben.

API-Ratenbegrenzung

Das Tool ist fest darauf programmiert, 20 Sekunden zwischen URLScan-Übermittlungen zu schlafen, um höflich zu sein. Standardmäßig verwendet es öffentliche Scans; dies kann mit --scan-type geändert werden.