RansomWatch

RansomWatch es una herramienta de monitoreo de sitios de filtración de ransomware. Extraerá todas las entradas de varios sitios de filtración de ransomware, almacenará los datos en una base de datos SQLite y enviará notificaciones a través de Slack o Discord cuando aparezca una nueva víctima, o cuando una víctima sea eliminada.

Nota: RansomWatch no se está actualizando activamente para los sitios más recientes, y depende principalmente de contribuciones de terceros. Por favor, abre un pull request y/o envíame un mensaje directo en Twitter.

Configuración

En config_vol/, copia config.sample.yaml a config.yaml y añade lo siguiente:

• URLs de sitios de filtración. Decidí no hacer pública esta lista para evitar que ganen aún más notoriedad, así que si los tienes, agrégalos. Si no, esta herramienta no es para ti.
  • Para obtener el onion de la API de Hive, carga su sitio principal y presiona F12 para usar las herramientas de desarrollador. Busca solicitudes XHR, deberías ver algunas a un dominio onion hiveapi....
• Destinos de notificación. RansomWatch actualmente admite notificaciones a través de los siguientes:
  • Slack: Sigue estas instrucciones para agregar una nueva aplicación a tu espacio de trabajo de Slack y añade la URL del webhook a la configuración.
  • Discord: Sigue estas instrucciones para agregar una nueva aplicación a tu servidor de Discord y añade la URL del webhook a la configuración.
  • Teams: Sigue estas instrucciones para agregar una nueva aplicación a tu canal de Teams y añade la URL del webhook a la configuración.

Además, hay algunas variables de entorno que puedes necesitar configurar:

• RW_DB_PATH: Ruta para la base de datos SQLite a utilizar
• RW_CONFIG_PATH: Ruta al archivo config.yaml

Ambas están configuradas en el docker-compose.yml proporcionado.

Uso

Está pensado para ejecutarse en Docker mediante un cronjob en el intervalo que decidas.

Primero, construye el contenedor: docker-compose build app

Luego, agrégalo a tu crontab. Ejemplo de entrada de crontab (ejecutándose cada 8 horas):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

Si prefieres, puedes usar la imagen publicada en Docker Hub (captaingeech/ransomwatch) en su lugar, con un docker-compose.yml similar a este:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

También se puede ejecutar desde la línea de comandos, pero eso requiere que tengas tu propio proxy Tor (con el servicio de control) en ejecución. Ejemplo de ejecución:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

Ejemplos de mensajes de Slack

Los mensajes enviados a Discord y Teams son muy similares en estilo, idénticos en contenido.

Implementaciones de sitios de filtración

Los siguientes sitios de filtración son compatibles:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

Si hay otros sitios de filtración que quieras que se implementen, no dudes en abrir un PR o enviarme un mensaje directo en Twitter, @captainGeech42