Kit Hunter: Ein einfaches Erkennungstool für Phishing-Kits

• Version 2.6.0
• 28. September 2021

Tests und Entwicklung fanden unter Python 3.7.3 (Linux) statt

Was ist Kit Hunter?

Kit Hunter ist ein persönliches Projekt zum Erlernen von Python und ein einfaches Scantool, das Verzeichnisse durchsucht und Phishing-Kits anhand festgelegter Marker erkennt. Bei Erkennung wird ein Bericht für Administratoren erstellt.

Standardmäßig generiert das Skript einen Bericht, der die als potenziell problematisch erkannten Dateien anzeigt, die Marker (auch Tags genannt) auflistet, die auf Probleme hinweisen, und dann die genaue Codezeile zeigt, in der die Erkennung stattfand.

Verwendung:

Ausführliche Installations- und Verwendungsanweisungen finden Sie auf SteveD3.io

Hilfe

Für schnelle Hilfe: python3 kit_hunter_2.py -h

Standard-Scan

Um einen vollständigen Scan mit den Standardeinstellungen durchzuführen: python3 kit_hunter_2.py

Schnellscan

Um einen Schnellscan mit minimalen Erkennungsregeln durchzuführen: python3 kit_hunter_2.py -q

Benutzerdefinierter Scan

Um einen benutzerdefinierten Scan durchzuführen: python3 kit_hunter_2.py -c

Hinweis: Bei Verwendung des Schalters -c müssen Sie eine Tag-Datei am selben Ort wie Kit Hunter ablegen. Sie können diese Datei beliebig nennen, aber die Erweiterung muss .tag sein. Bitte denken Sie daran, dass die Formatierung wichtig ist. Es sollte nur ein Eintrag pro Zeile vorhanden sein und keine Leerzeichen. Sie können sich die anderen Tag-Dateien ansehen, wenn Sie Beispiele benötigen.

Verzeichnisauswahl-Scan

Sie können kit_hunter_2.py von jedem Ort aus mit dem Schalter -d ausführen, um ein Verzeichnis zu scannen:

python3 kit_hunter_2.py -d /path/to/directory

Es ist jedoch einfacher, wenn Sie kit_hunter_2.py in das Verzeichnis oberhalb Ihres Web-Root (z.B. /www/ oder /public_html/) legen und das Skript von dort aus aufrufen.

Der endgültige Bericht wird im gescannten Verzeichnis erstellt.

In meiner Verwendung rufe ich Kit Hunter aus meinem /kit/download/-Verzeichnis auf, wo neue Phishing-Kits gespeichert werden. Meine Berichte werden dann in diesem Ordner erstellt und gespeichert. Wenn ich jedoch Kit Hunter aufrufe und mein /PHISHING/Archive/-Verzeichnis mit dem Schalter -d scannen lasse, wird der Bericht in /PHISHING/Archive/ gespeichert.

Shell-Erkennung

Diese neueste Version von Kit Hunter verfügt über eine Shell-Erkennung. Shell-Skripte werden oft mit Phishing-Kits gebündelt oder verwendet, um Phishing-Kits auf Webservern bereitzustellen. Kit Hunter scannt nach einigen häufigen Shell-Skript-Elementen. Der Vorgang funktioniert genauso wie beim regulären Scannen, nur dass die Shell-Erkennungen mit dem Schalter -s aufgerufen werden. Dies ist ein eigenständiger Scan, daher kann er nicht mit anderen Typen kombiniert werden. Sie können jedoch die Flags -m und -l mit dem Shell-Scan verwenden. Weitere Informationen finden Sie im Hilfsbereich des Skripts.

Nach Abschluss des Scans zeigt Ihnen die Ausgabe des Skripts den Speicherort des gespeicherten Scanberichts.

Tag-Dateien:

Was die Tag-Dateien betrifft, werden mit Kit Hunter v2.5.8 41 Tag-Dateien ausgeliefert. Diese Tag-Dateien erkennen gezielte Phishing-Kampagnen sowie verschiedene Arten von Phishing-Tricks wie Verschleierung, Templating, Theming und sogar Marken-Kits wie Kr3pto und Ex-Robotos. Neue Tag-Dateien werden hinzugefügt und bestehende Tag-Dateien werden in unregelmäßigen Abständen aktualisiert. Einzelheiten finden Sie im Changelog.

Wie bereits bei v1.0 gilt: Je länger die Tag-Datei ist, desto länger dauert das Einlesen durch das Skript.