PacketSifter

Was ist PacketSifter?

PacketSifter ist ein Tool zur Batch-Verarbeitung von PCAP-Daten, um potenzielle IOCs zu ermitteln.
Initialisieren Sie einfach PacketSifter mit Ihren gewünschten Integrationen (VirusTotal, AbuseIPDB), übergeben Sie PacketSifter eine PCAP-Datei und die gewünschten Schalter, und PacketSifter durchsucht die Daten und generiert mehrere Ausgabedateien.

Hinweis Bitte führen Sie AbuseIPDBInitial.sh und VTInitial.sh aus, bevor Sie die entsprechenden Schalter verwenden, da die Integrationen sonst nicht funktionieren.

27.05.2021
PacketSifter wurde überarbeitet, um eine optimierte Interaktion mit dem Benutzer zu ermöglichen. Laden Sie einfach das neue aktualisierte packetsifter.sh herunter, führen Sie ./packetsifter -h aus und erfahren Sie, wie Sie den neuen PacketSifter richtig verwenden!

Autor

Ross Burke (Twitter @packetsifter)

Funktionsweise

Übergeben Sie PacketSifter einfach Ihre zu analysierende PCAP-Datei zusammen mit den gewünschten Flags und lassen Sie PacketSifter die Arbeit für Sie erledigen!

Beispiel:

root@ubuntu:~# ./packetsifter -i /tmp/testing.pcap -a -r -v

Befehlszeilenoptionen

OPTIONEN:

• -a   Aktiviert AbuseIPDB-Abfragen von IP-Adressen in DNS-A-Einträgen
• -h   Hilfe anzeigen
• -i   Eingabedatei [Erforderlich]
• -r   Hostnamen im PCAP auflösen [Kann zu DNS-Abfragen an die Infrastruktur des Angreifers führen]
• -v   Aktiviert VirusTotal-Abfrage exportierter SMB/HTTP-Objekte

Anforderungen

tshark - https://tshark.dev/setup/install/

Ausgabe

Derzeit generiert PacketSifter die folgenden PCAPs:

• http.pcap - Alle Gespräche mit Port 80, 8080 oder 8000
• smb.pcap - Alle Gespräche, die von tshark-Dissektoren als NBSS, SMB oder SMB2 kategorisiert werden
• dns.pcap - Alle Gespräche, die von tshark-Dissektoren als DNS kategorisiert werden
• ftp.pcap - Alle Gespräche, die von tshark-Dissektoren als FTP kategorisiert werden

• IOstatistics.txt - Protokollhierarchie und Eingabe/Ausgabe in 30-Sekunden-Intervallen (hilfreich, um potenzielles Beaconing zu finden)
• IPstatistics.txt - Gesamtstatistiken zu/von Endpunkten über IP und einzelne Gespräche über IP
• TCPstatistics - Gesamtstatistiken zu/von Endpunkten über TCP und einzelne TCP-Gespräche aufgeschlüsselt. <> Diese Datei kann eine große Menge an Informationen enthalten. Es wird empfohlen, less oder grep für ein bestimmtes Gespräch zu verwenden.
• http_info.txt - Statistische Daten über HTTP-Gespräche
• hostnamesResolved.txt (optional) - Aufgelöste Hostnamen, die im PCAP beobachtet wurden. <> Dies kann zu DNS-Abfragen für die Infrastruktur des Angreifers führen. Vorsicht ist geboten!!
• SMBstatistics.txt - Statistiken über Befehle, die mit smb oder smb2 ausgeführt wurden
• dnsARecords.txt - DNS-A-Abfragen/Antworten
• dnsTXTRecords.txt - DNS-TXT-Abfragen/Antworten
• errors.txt - Mülldatei

• httpHashToObject.txt - Textdatei mit MD5-Hash-zu-Objekt-Zuordnung als Referenz
• httpVTResults.txt - Textdatei mit Ergebnissen der MD5-Hash-Abfrage von HTTP-Objekten über die VirusTotal-API
• smbHashToObject.txt - Textdatei mit MD5-Hash-zu-Objekt-Zuordnung als Referenz
• smbVTResults.txt - Textdatei mit Ergebnissen der MD5-Hash-Abfrage von SMB-Objekten über die VirusTotal-API

• IPLookupResults.txt - Textdatei mit IP-Geolokalisierung + IP-Reputationsergebnissen

• httpObjects.tar.gz - HTTP-Objekte, die im PCAP beobachtet wurden. <> Es kann viele HTTP-Objekte geben, und je nach PCAP können potenziell bösartige HTTP-Objekte extrahiert werden. Mit Vorsicht verwenden!!
• smbObjects.tar.gz - SMB-Objekte, die im PCAP beobachtet wurden. Es kann viele SMB-Objekte geben, und je nach PCAP können potenziell bösartige SMB-Objekte extrahiert werden. Mit Vorsicht verwenden!!

VirusTotal-Integration

PacketSifter kann jetzt Hash-Abfragen über die VirusTotal-API von exportierten Objekten durchführen, die über SMB/HTTP gefunden wurden.

Schritte zur Konfiguration von PacketSifter mit VirusTotal-Integration:

1. Stellen Sie sicher, dass jq (https://stedolan.github.io/jq/download/) installiert ist.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Stellen Sie sicher, dass curl installiert ist.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

AbuseIPDB-Integration

PacketSifter kann IP-Geolokalisierung + IP-Reputationsabfragen von IP-Adressen durchführen, die in DNS-A-Einträgen zurückgegeben werden.

Schritte zur Konfiguration von PacketSifter mit AbuseIPDB-Integration:

1. Stellen Sie sicher, dass jq (https://stedolan.github.io/jq/download/) installiert ist.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Stellen Sie sicher, dass curl installiert ist.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Vorschläge?

Melden Sie sich, wenn Sie Vorschläge haben, was sonst noch durchsucht werden soll oder was sonst noch für das Tool nützlich sein könnte.