packetsifterTool

PacketSifter ist ein Tool/Skript, das Analysten dabei unterstützen soll, einen Paketmitschnitt (pcap) zu durchsuchen, um bemerkenswerten Datenverkehr zu finden. Packetsifter akzeptiert eine pcap als Argument und gibt mehrere Dateien aus.

OPTIONEN:

• -a   Aktiviert AbuseIPDB-Abfragen von IP-Adressen in DNS-A-Einträgen
• -h   Hilfe anzeigen
• -i   Eingabedatei [Erforderlich]
• -r   Hostnamen im PCAP auflösen [Kann zu DNS-Abfragen an die Infrastruktur des Angreifers führen]
• -v   Aktiviert VirusTotal-Abfrage exportierter SMB/HTTP-Objekte

Anforderungen

tshark - https://tshark.dev/setup/install/

Ausgabe

Derzeit generiert PacketSifter die folgenden PCAPs:

• http.pcap - Alle Gespräche mit Port 80, 8080 oder 8000
• smb.pcap - Alle Gespräche, die von tshark-Dissektoren als NBSS, SMB oder SMB2 kategorisiert werden
• dns.pcap - Alle Gespräche, die von tshark-Dissektoren als DNS kategorisiert werden
• ftp.pcap - Alle Gespräche, die von tshark-Dissektoren als FTP kategorisiert werden

• IOstatistics.txt - Protokollhierarchie und Eingabe/Ausgabe in 30-Sekunden-Intervallen (hilfreich, um potenzielles Beaconing zu finden)
• IPstatistics.txt - Gesamtstatistiken zu/von Endpunkten über IP und einzelne Gespräche über IP
• TCPstatistics - Gesamtstatistiken zu/von Endpunkten über TCP und einzelne TCP-Gespräche aufgeschlüsselt. <> Diese Datei kann eine große Menge an Informationen enthalten. Es wird empfohlen, less oder grep für ein bestimmtes Gespräch zu verwenden.
• http_info.txt - Statistische Daten über HTTP-Gespräche
• hostnamesResolved.txt (optional) - Aufgelöste Hostnamen, die im PCAP beobachtet wurden. <> Dies kann zu DNS-Abfragen für die Infrastruktur des Angreifers führen. Vorsicht ist geboten!!
• SMBstatistics.txt - Statistiken über Befehle, die mit smb oder smb2 ausgeführt wurden
• dnsARecords.txt - DNS-A-Abfragen/Antworten
• dnsTXTRecords.txt - DNS-TXT-Abfragen/Antworten
• errors.txt - Mülldatei

• httpHashToObject.txt - Textdatei mit MD5-Hash-zu-Objekt-Zuordnung als Referenz
• httpVTResults.txt - Textdatei mit Ergebnissen der MD5-Hash-Abfrage von HTTP-Objekten über die VirusTotal-API
• smbHashToObject.txt - Textdatei mit MD5-Hash-zu-Objekt-Zuordnung als Referenz
• smbVTResults.txt - Textdatei mit Ergebnissen der MD5-Hash-Abfrage von SMB-Objekten über die VirusTotal-API

• IPLookupResults.txt - Textdatei mit IP-Geolokalisierung + IP-Reputationsergebnissen

• httpObjects.tar.gz - HTTP-Objekte, die im PCAP beobachtet wurden. <> Es kann viele HTTP-Objekte geben, und je nach PCAP können potenziell bösartige HTTP-Objekte extrahiert werden. Mit Vorsicht verwenden!!
• smbObjects.tar.gz - SMB-Objekte, die im PCAP beobachtet wurden. Es kann viele SMB-Objekte geben, und je nach PCAP können potenziell bösartige SMB-Objekte extrahiert werden. Mit Vorsicht verwenden!!

VirusTotal-Integration

PacketSifter kann jetzt Hash-Abfragen über die VirusTotal-API von exportierten Objekten durchführen, die über SMB/HTTP gefunden wurden.

Schritte zur Konfiguration von PacketSifter mit VirusTotal-Integration:

1. Stellen Sie sicher, dass jq (https://stedolan.github.io/jq/download/) installiert ist.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Stellen Sie sicher, dass curl installiert ist.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

AbuseIPDB-Integration

PacketSifter kann IP-Geolokalisierung + IP-Reputationsabfragen von IP-Adressen durchführen, die in DNS-A-Einträgen zurückgegeben werden.

Schritte zur Konfiguration von PacketSifter mit AbuseIPDB-Integration:

1. Stellen Sie sicher, dass jq (https://stedolan.github.io/jq/download/) installiert ist.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Stellen Sie sicher, dass curl installiert ist.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Vorschläge?

Melden Sie sich, wenn Sie Vorschläge haben, was sonst noch durchsucht werden soll oder was sonst noch für das Tool nützlich sein könnte.