packetsifterTool

PacketSifter es una herramienta/script diseñada para ayudar a los analistas a examinar una captura de paquetes (pcap) y encontrar tráfico notable. Packetsifter acepta un pcap como argumento y genera varios archivos.

OPCIONES:

• -a   habilita consultas en AbuseIPDB de direcciones IP en registros DNS A
• -h   imprime ayuda
• -i   archivo de entrada [Requerido]
• -r   resuelve nombres de host en el pcap [Puede generar consultas DNS a infraestructura del atacante]
• -v   habilita la consulta en VirusTotal de objetos SMB/HTTP exportados

Requisitos

tshark - https://tshark.dev/setup/install/

Salida

Actualmente, PacketSifter genera los siguientes pcaps:

• http.pcap - Todas las conversaciones que contienen los puertos 80, 8080 o 8000
• smb.pcap - Todas las conversaciones categorizadas por los disectores de tshark como NBSS, SMB o SMB2
• dns.pcap - Todas las conversaciones categorizadas por los disectores de tshark como DNS
• ftp.pcap - Todas las conversaciones categorizadas por los disectores de tshark como FTP

• IOstatistics.txt - Jerarquía de protocolos y E/S dividida en intervalos de 30 segundos (útil para encontrar posibles balizamientos [beaconing])
• IPstatistics.txt - Estadísticas generales hacia/desde endpoints a través de IP y conversaciones individuales a través de IP
• TCPstatistics - Estadísticas generales hacia/desde endpoints a través de TCP y conversaciones TCP individuales desglosadas. <> Este archivo puede contener una gran cantidad de información. Se recomienda usar less o grep para buscar una conversación en particular.
• http_info.txt - Datos estadísticos sobre conversaciones HTTP
• hostnamesResolved.txt (opcional) - Nombres de host resueltos observados en el pcap. <> Esto puede generar consultas DNS hacia la infraestructura del atacante. ¡Proceder con precaución!
• SMBstatistics.txt - Estadísticas sobre comandos ejecutados usando smb o smb2
• dnsARecords.txt - Consultas/respuestas DNS A
• dnsTXTRecords.txt - Consultas/respuestas DNS TXT
• errors.txt - archivo basura

• httpHashToObject.txt - Archivo de texto que contiene el emparejamiento de hash md5 a objeto como referencia
• httpVTResults.txt - Archivo de texto que contiene los resultados de la consulta de hash md5 de objetos HTTP a través de la API de VirusTotal
• smbHashToObject.txt - Archivo de texto que contiene el emparejamiento de hash md5 a objeto como referencia
• smbVTResults.txt - Archivo de texto que contiene los resultados de la consulta de hash md5 de objetos SMB a través de la API de VirusTotal

• IPLookupResults.txt - Archivo de texto que contiene geolocalización de IP + resultados de reputación de IP

• httpObjects.tar.gz - Objetos HTTP observados en el pcap. <> Puede haber muchos objetos HTTP y potencialmente puedes extraer objetos HTTP maliciosos dependiendo del pcap. ¡Usar con precaución!
• smbObjects.tar.gz - Objetos SMB observados en el pcap. Puede haber muchos objetos SMB y potencialmente puedes extraer objetos SMB maliciosos dependiendo del pcap. ¡Usar con precaución!

Integración con VirusTotal

PacketSifter ahora puede realizar consultas de hash a través de la API de VirusTotal sobre objetos exportados encontrados a través de SMB/HTTP.

Pasos para configurar PacketSifter con integración de VirusTotal:

1. Asegúrate de tener jq (https://stedolan.github.io/jq/download/) instalado.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
   

2. Asegúrate de tener curl instalado.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Integración con AbuseIPDB

PacketSifter puede realizar consultas de geolocalización de IP + reputación de IP sobre direcciones IP devueltas en registros DNS A.

Pasos para configurar PacketSifter con integración de AbuseIPDB:

1. Asegúrate de tener jq (https://stedolan.github.io/jq/download/) instalado.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
   

2. Asegúrate de tener curl instalado.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

¿Sugerencias?

¡Contáctame si tienes sugerencias sobre qué más te gustaría que se examine o qué más podría ser útil para la herramienta.