InfraHunter

Caza activamente infraestructura de atacantes filtrando resultados de Shodan con datos de URLScan.

Requisitos

• Clave de API de Shodan (Shodan API Key)
• Clave de API de URLScan (URLScan API Key)
• python3 -m pip install -r requirements.txt

Ejemplos de uso

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

Consultas integradas

Puedes usar consultas preconstruidas proporcionando su nombre con -q. Para listar todas las consultas integradas, ejecuta python .\hunter.py -l.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

También puedes proporcionar una URL a un webhook de Discord con -d, --discord. Esto enviará los resultados a ese webhook en lugar de abrirlos en un navegador.

¿Qué hago?

1. Busca en Shodan con la consulta proporcionada por -q, --query
2. Para cada combinación de IP/puerto/protocolo y dominio/puerto/protocolo, envíala a URLScan
   • Si tiene múltiples puertos abiertos, se enviarán todos los puertos
   • Envía URLs http y https
   • Mismo proceso para todos los dominios
3. Para cada URLScan
   • Comprueba si la página escaneada devolvió un HTTP OK (200)
   • Comprueba si tiene una captura de pantalla de la página web en los resultados de URLScan
   • Descarga la imagen y calcula su SHA256 y elimina la imagen
   • Compara el SHA256 contra una lista de hashes a excluir (esta lista contiene cosas que he considerado no maliciosas, pero planeo crear una forma de omitir esta comprobación) (la lista existe porque uso esta herramienta para cazar en un horario)
   • Para cada resultado restante que no sea excluido por la comprobación de hash, devuelve el resultado

Límites de tasa de la API

La herramienta tiene codificado (hardcoded) un reposo de 20 segundos entre envíos a URLScan para ser respetuosa. Por defecto utiliza escaneos públicos; esto se puede cambiar con --scan-type.