ransomlook/ransomlookNoch ein Ransomware-Banden-Tracker
RansomLook ist ein Tool zur Überwachung von Ransomware-Gruppen und -Märkten und zur Extraktion ihrer Opfer.
/docBeachten Sie, dass die Verwendung von Ubuntu 24.04 dringend empfohlen wird.
Sie benötigen eine installierte Version von poetry 2.1.0.
curl -sSL https://install.python-poetry.org | python3 -
Valkey: Valkey ist ein quelloffener (BSD) Hochleistungs-Key/Value-Datenspeicher, der eine Vielzahl von Workloads wie Caching und Nachrichtenwarteschlangen unterstützt und als primäre Datenbank fungieren kann. Valkey kann entweder als eigenständiger Daemon oder in einem Cluster betrieben werden, mit Optionen für Replikation und hohe Verfügbarkeit.
HINWEIS: Valkey sollte aus dem Quellcode installiert werden, und das Repository muss sich im selben Verzeichnis befinden wie das Verzeichnis, in das Sie RansomLook klonen werden.
Zum Kompilieren und Testen von Valkey benötigen Sie einige Pakete:
sudo apt-get update
sudo apt install build-essential tcl
git clone https://github.com/valkey-io/valkey
cd valkey
git checkout 8.0
make
# Optionally, you can run the tests:
make test
cd ..
Wie gewohnt:
git clone https://github.com/RansomLook/RansomLook.git
An diesem Punkt sollten Sie sich in einem Verzeichnis befinden, das valkey und RansomLook enthält.
Vergewissern Sie sich, dass dies der Fall ist, indem Sie ls valkey RansomLook ausführen. Wenn Sie No such file or directory sehen, fehlt eines davon und Sie müssen die Installation korrigieren.
Die Verzeichnisstruktur muss wie folgt aussehen:
.
├── valkey => compiled valkey
└── RansomLook => not installed RansomLook yet
sudo apt install python3-dev
sudo apt install libnss3 libnspr4 libatk1.0-0 libatk-bridge2.0-0 libcups2 libxkbcommon0 libxdamage1 libgbm1 libpango-1.0-0 libcairo2 libatspi2.0-0 libxcomposite1 libxfixes3 libxrandr2 libasound2 libwayland-client0
sudo apt install libgtk-3-0 libpangocairo-1.0-0 libcairo-gobject2 libgdk-pixbuf2.0-0 libx11-xcb1 libxcursor1
sudo apt install tor ffmpeg
Führen Sie im Verzeichnis, in das Sie RansomLook geklont haben, Folgendes aus:
cd RansomLook # if you're not already in the directory
poetry install
Initialisieren Sie die .env-Datei:
echo RANSOMLOOK_HOME="`pwd`" >> .env
Web-Abhängigkeiten abrufen (css, font, js)
poetry run tools/3rdparty.py
poetry run tools/generate_sri.py
Beachten Sie, dass diese versionseingeschränkt sind, da SubResource Integrity (SRI) verwendet wird (festgelegt in website/web/sri.txt).
Kopieren Sie die Konfigurationsdatei:
cp config/generic.json.sample config/generic.json
Und konfigurieren Sie sie entsprechend Ihren Anforderungen.
Führen Sie den folgenden Befehl aus, um die erforderlichen JavaScript-Abhängigkeiten abzurufen und RansomLook zu starten.
poetry run update --yes
Mit der Standardkonfiguration können Sie über http://0.0.0.0:8000 auf die Weboberfläche zugreifen.
poetry run start # Start backend (Valkey) + website
poetry run stop # Stop website + backend
poetry run shutdown # Graceful shutdown of all services
poetry run start_website # Start only the web interface (Gunicorn)
poetry run run_backend # Start only the Valkey backend
poetry run update --yes # System update, fetch deps, integrity checks
Mit der Standardkonfiguration ist die Weboberfläche unter http://127.0.0.1:8000 verfügbar.
Diese sollten per Cron eingeplant werden (empfohlen: alle 2 Stunden).
# Make sure Tor is running first
sudo systemctl enable --now tor
poetry run scrape # Scrape all group/market sites (DB 0 + 3)
poetry run parse # Run all parsers to extract posts from scraped data
poetry run screen # Take screenshots of group sites via Lacus/Playwright
poetry run notify # Send email notifications for new posts
poetry run notifyleak # Send email notifications for new leaks
poetry run breach # Scrape leak-lookup.com for new data breaches (DB 4)
poetry run cryptocur # Sync cryptocurrency addresses from ransomwhe.re (DB 7)
poetry run update_crypto_tx # Fetch/update transactions via Breadcrumbs One API (DB 7)
poetry run rf # Fetch Recorded Future channel data (DB 10)
poetry run notes # Import/update ransom notes from ThreatLabz repo (DB 11)
poetry run torrent # Fetch torrent information from ransomware groups
poetry run torrent-health # Scan BitTorrent swarms for each tracked magnet (DB 13)
poetry run torrent-health-backfill # Rescan torrents missing name / trackers (longer DHT window)
poetry run torrent-tracker-scrape # BEP-48 / BEP-15 tracker scrape (HTTP onion via Tor, HTTP clearnet, UDP)
poetry run torrent-webseed-check # HEAD every BEP-19 webseed URL, mark online/offline
poetry run enrich-ips # Enrich observed peer IPs via CIRCL (cached 7 days)
poetry run torrent-health folgt ohne Argumente dem adaptiven Zeitplan (Intervalle für aktiv/tot/eingefroren) und scannt, was fällig ist. Um den Zeitplan zu umgehen und einen Scan zu erzwingen:
poetry run torrent-health --only <infohash> # one specific swarm
poetry run torrent-health --group "clop torrents" # every torrent of a group
poetry run torrent-health --group clop --group akira # multiple groups at once
poetry run torrent-health --magnet "magnet:?xt=urn:btih:…" # ad-hoc magnet (not stored against any group)
poetry run torrent-health --scan-duration 120 # longer DHT observation window