alphasoc/flightsimUna utilidad para generar de forma segura patrones de tráfico de red malicioso y evaluar controles.
flightsim es una utilidad ligera utilizada para generar tráfico de red malicioso y ayudar a los equipos de seguridad a evaluar controles de seguridad y visibilidad de red. La herramienta realiza pruebas para simular tunelización DNS, tráfico DGA, solicitudes a destinos C2 activos conocidos y otros patrones de tráfico sospechosos.
Descargue el último binario de flightsim para su sistema operativo desde la página GitHub Releases. Alternativamente, la utilidad se puede compilar usando Golang en cualquier entorno (ej. Linux, MacOS, Windows), de la siguiente manera:
go install github.com/alphasoc/flightsim/v2@latest
Tras la instalación, pruebe flightsim de la siguiente manera:
$ flightsim --help
AlphaSOC Network Flight Simulator™ (https://github.com/alphasoc/flightsim)
flightsim is an application which generates malicious network traffic for security
teams to evaluate security controls (e.g. firewalls) and ensure that monitoring tools
are able to detect malicious traffic.
Usage:
flightsim <command> [arguments]
Available commands:
get Get a list of elements (ie. families) of a certain category (ie. c2)
run Run all modules, or a particular module
version Prints the version number
Cheatsheet:
flightsim run Run all the modules
flightsim run c2 Simulate C2 traffic
flightsim run c2:trickbot Simulate C2 traffic for the TrickBot family
flightsim run ssh-transfer:1GB Simulate a 1GB SSH/SFTP file transfer
flightsim get families:c2 Get a list of all c2 families
La utilidad ejecuta módulos individuales para generar tráfico malicioso. Para realizar todas las pruebas disponibles, simplemente use flightsim run, lo cual generará tráfico usando la primera interfaz de red no loopback disponible. Nota: al ejecutar muchos módulos, flightsim recopilará direcciones de destino desde la API de AlphaSOC, por lo que requiere acceso a Internet de salida.
Para listar los módulos disponibles, use flightsim run --help. Para ejecutar una prueba particular, use flightsim run <módulo>, como se muestra a continuación.
$ flightsim run --help
usage: flightsim run [flags] [modules]
To run all available modules, call:
flightsim run
To run a specific module:
flightsim run c2
Available modules:
c2, dga, imposter, miner, scan, sink, spambot, ssh-exfil, ssh-transfer, tunnel-dns, tunnel-icmp
Available flags:
-dry
print actions without performing any network activity
-fast
reduce sleep intervals between simulation events
-iface string
network interface or local IP address to use
-size int
number of hosts generated for each simulator
$ flightsim run dga
AlphaSOC Network Flight Simulator™ (https://github.com/alphasoc/flightsim)
The address of the network interface for IP traffic is 192.168.220.38
The address of the network interface for DNS queries is 192.168.220.38
The current time is 26-Oct-21 17:28:51
17:28:51 [dga] Generating a list of DGA domains
17:28:51 [dga] Resolving 6kauziij.com
17:28:52 [dga] Resolving paxeo0jk.biz
17:28:53 [dga] Resolving iuuub8al.biz
17:28:54 [dga] Resolving bxsei3nj.com
17:28:55 [dga] Resolving zbwltf1h.space
17:28:56 [dga] Resolving yoze7avi.com
17:28:57 [dga] Resolving ijax8aqw.space
17:28:58 [dga] Resolving wwrjyj4l.space
17:28:59 [dga] Resolving uioc5hky.com
17:29:00 [dga] Resolving lcwdji5t.biz
17:29:01 [dga] Resolving zluwcb4h.biz
17:29:02 [dga] Resolving 8jodcvhj.space
17:29:03 [dga] Resolving ju5haxur.com
17:29:04 [dga] Resolving ivthu2dl.biz
17:29:05 [dga] Resolving ha0bsxft.com
17:29:05 [dga] Done (15/15)
All done! Check your SIEM for alerts using the timestamps and details above.
La utilidad también tiene un comando get que se puede usar para consultar información que luego puede ser utilizada con los módulos de simulación. Actualmente, se puede obtener una lista de familias C2 para usar con el módulo C2. Para ver cómo usar el comando get, ejecute flightsim get -h como se muestra a continuación.
$ flightsim get -h
AlphaSOC Network Flight Simulator™ (https://github.com/alphasoc/flightsim)
The current time is 26-Oct-21 17:42:23
usage: flightsim get [flags] element:category
Available elements:
families
Available categories:
c2
Available flags:
Para obtener una lista de familias C2, ejecute:
$ flightsim get families:c2
AlphaSOC Network Flight Simulator™ (https://github.com/alphasoc/flightsim)
The current time is 16-Nov-21 11:16:51
11:16:51 [families:c2] Fetching c2 families
11:16:55 [families:c2] Adwind, Agent Tesla, Amadey, AsyncRAT, AZORult, BASHLITE, BazarBackdoor, BlackNET RAT, Cobalt Strike, Collector Stealer, CryptBot, DarkComet, DiamondFox, Dridex, Emotet, Gozi, IcedID, Kimsuky, KPOT Stealer, LokiBot, Mirai, NanoCore RAT, njRAT, Oski Stealer, Pony, Predator the Thief, Quakbot, RedLine, RedLine Stealer, Remcos RAT, Smoke Loader, Taurus, TrickBot, XtremeRAT, Zloader
11:16:55 [families:c2] Fetched 35 c2 families
All done!
Los módulos incluidos con la utilidad se listan en la tabla a continuación.
| Módulo | Descripción |
|---|---|
c2 | Genera tráfico DNS e IP hacia una lista aleatoria de destinos C2 conocidos |
cleartext | Genera tráfico de texto claro aleatorio hacia un servicio de Internet operado por AlphaSOC |
dga | Simula tráfico DGA usando etiquetas aleatorias y dominios de nivel superior |
imposter | Genera tráfico DNS hacia una lista de dominios suplantados |
irc | Se conecta a una lista aleatoria de servidores IRC públicos |
miner | Genera tráfico del protocolo de minería Stratum hacia pools de criptominería conocidos |
oast | Simula tráfico de pruebas de seguridad de aplicaciones fuera de banda (OAST) |
scan | Realiza un escaneo de puertos de direcciones RFC 5737 aleatorias usando puertos TCP comunes |
sink | Se conecta a destinos sinkhole conocidos operados por investigadores de seguridad |
spambot | Resuelve y se conecta a servidores SMTP aleatorios de Internet para simular un bot de spam |
ssh-exfil | Simula una transferencia de archivos SSH hacia un servicio ejecutándose en un puerto SSH no estándar |
ssh-transfer | Simula una transferencia de archivos SSH hacia un servicio ejecutándose en un puerto SSH estándar |
telegram-bot | Genera tráfico de la API de Telegram Bot usando un token aleatorio o proporcionado |
tunnel-dns | Genera solicitudes de tunelización DNS hacia *.sandbox.alphasoc.xyz |
tunnel-icmp | Genera tráfico de tunelización ICMP hacia un servicio de Internet operado por AlphaSOC |