redsiege/just-metadataJust-Metadata ist ein Werkzeug, das Metadaten über IP-Adressen sammelt und analysiert. Es versucht, Beziehungen zwischen Systemen innerhalb eines großen Datensatzes zu finden.
Just-Metadata ist ein Tool, das passiv Informationen über eine große Anzahl von IP-Adressen sammelt und versucht, Beziehungen zu extrapolieren, die sonst nicht erkennbar wären. Just-Metadata verfügt über „Sammel“-Module, mit denen Metadaten über die in das Framework geladenen IPs aus mehreren Quellen im Internet gesammelt werden. Außerdem gibt es „Analyse“-Module. Diese analysieren die in Just-Metadata geladenen Daten und führen verschiedene Operationen durch, die potenzielle Beziehungen zwischen den geladenen Systemen identifizieren können.
Just-Metadata ermöglicht es Ihnen, schnell die Top-„X“-Anzahl von Bundesstaaten, Städten, Zeitzonen usw. zu finden, in denen sich die geladenen IP-Adressen befinden. Sie können IP-Adressen nach Land suchen. Sie können alle IPs durchsuchen, um diejenigen zu finden, die bei Rückrufen (Callbacks) verwendet werden, wie von VirusTotal identifiziert. Möchten Sie sehen, ob geladene IPs als Teil von Angriffen des Animus-Projekts dokumentiert wurden? Das kann Just-Metadata erledigen.
Darüber hinaus ist es einfach, neue Analysemodule zu erstellen, damit Benutzer andere Beziehungen zwischen geladenen IPs auf Basis der verfügbaren Daten finden können. Neue Informationsbeschaffungsmodule können ebenso einfach hinzugefügt werden!
Im Idealfall können Sie das Setup-Skript ausführen, und es installiert alles, was Sie benötigen.
Für das Shodan-Informationsbeschaffungsmodul BENÖTIGEN SIE einen Shodan-API-Schlüssel. Dieser kostet etwa 9 Dollar, na ja, es lohnt sich :).
Derzeit ist Just-Metadata darauf ausgelegt, eine einzelne Textdatei mit IPs einzulesen, jede in einer eigenen Zeile. Erstellen Sie diese Datei aus einer beliebigen Quelle (C2-Callback-IPs, Webserver-Logs usw.). Sobald Sie diese Datei haben, starten Sie Just-Metadata mit dem Aufruf:
./Just-Metadata.py
help – Geben Sie den Befehl „help“ ein, um eine Liste der verfügbaren Befehle und eine Beschreibung ihrer Funktionen zu sehen, sobald Sie sich im Framework befinden.
load <dateiname> – Der Befehl „load“ erwartet einen zusätzlichen Parameter, den Dateinamen, aus dem Just-Metadata IP-Adressen laden soll. Dieser Befehl öffnet und lädt alle IPs in der Datei in das Framework.
Beispiel: load ipaddresses.txt
save – Der Befehl „save“ speichert den aktuellen Arbeitszustand von Just-Metadata. Dies ist in mehreren Fällen hilfreich, z. B. nach dem Sammeln von Informationen über IPs, wenn Sie den Zustand für die spätere Bearbeitung auf die Festplatte speichern möchten. Einfaches Eingeben von „save“ führt dazu, dass Just-Metadata den Zustand auf die Festplatte speichert und den Dateinamen des gespeicherten Zustands anzeigt.
import <zustandsdatei> – Der Befehl „import“ lädt einen zuvor gespeicherten Just-Metadata-Zustand in das Framework. Er lädt alle gespeicherten IPs und alle gesammelten Informationen über die IP-Adressen. Dieser Befehl erwartet einen zusätzlichen Parameter, den Namen der Zustandsdatei, die Just-Metadata laden soll.
Beispiel: import goodfile.state
list <modultyp> – Der Befehl „list“ listet die verschiedenen Modultypen auf, die in Just-Metadata geladen sind. Dieser Befehl erwartet einen zusätzlichen Parameter, entweder „analysis“ oder „gather“. Just-Metadata zeigt alle Module des angeforderten Typs an.
Beispiel: list analysis
Beispiel: list gather
gather <sammelmodulname> – Der Befehl „gather“ weist Just-Metadata an, das angegebene Modul auszuführen und Informationen aus dieser Quelle zu sammeln. Dies kann zum Sammeln geografischer Informationen, von Virustotal, Whois und mehr verwendet werden. Es hängt alles vom Modul ab. Die gesammelten Daten werden im Framework im Arbeitsspeicher gespeichert und können mit dem Befehl „save“ auch auf die Festplatte gespeichert werden.
Beispiel: gather geoinfo
Beispiel: gather virustotal
analyze <analysemodulname> – Der Befehl „analyze“ weist Just-Metadata an, ein Analysemodul gegen die in das Framework geladenen Daten auszuführen. Diese Module können verwendet werden, um IP-Adressen zu finden, die dieselben SSH-Schlüssel oder SSL-Public-Key-Zertifikate oder Zertifikatsketten gemeinsam nutzen. Sie können auch verwendet werden, um IP-Adressen zu finden, die bei denselben Rückrufen (Callbacks) von bösartigen ausführbaren Dateien verwendet wurden.
ip_info <IP-Adresse> – Dieser Befehl wird verwendet, um alle Informationen über eine bestimmte IP-Adresse auszugeben. Dies wird derzeit verwendet, nachdem Analysemodule ausgeführt wurden. Zum Beispiel kann ich nach der Identifizierung von IP-Adressen, die dieselben SSH-Schlüssel gemeinsam nutzen, alle Informationen über diese IPs ausgeben. Ich kann dann sehen, ob sie von Malware verwendet wurden, wo sie sich befinden usw.
export – Der Befehl „export“ veranlasst Just-Metadata, alle gesammelten Informationen über alle derzeit in das Framework geladenen IP-Adressen als CSV auszugeben.
Danke an Justin Warner (@sixdub) für das anfängliche Feedback, die Designideen und die Rolle als Resonanzboden während der Entwicklung!
