packetsifterTool

PacketSifter est un outil/script conçu pour aider les analystes à passer au crible une capture de paquets (pcap) afin de trouver le trafic remarquable. Packetsifter accepte un pcap comme argument et produit plusieurs fichiers.

OPTIONS :

• -a   activer les recherches AbuseIPDB des adresses IP dans les enregistrements A DNS
• -h   afficher l'aide
• -i   fichier d'entrée [Obligatoire]
• -r   résoudre les noms d'hôte dans le pcap [Peut entraîner des requêtes DNS vers l'infrastructure de l'attaquant]
• -v   activer la recherche VirusTotal des objets SMB/HTTP exportés

Prérequis

tshark - https://tshark.dev/setup/install/

Sorties

Actuellement, PacketSifter génère les pcaps suivants :

• http.pcap - Toutes les conversations contenant les ports 80, 8080 ou 8000
• smb.pcap - Toutes les conversations classées par les dissecteurs tshark comme NBSS, SMB ou SMB2
• dns.pcap - Toutes les conversations classées par les dissecteurs tshark comme DNS
• ftp.pcap - Toutes les conversations classées par les dissecteurs tshark comme FTP

• IOstatistics.txt - Hiérarchie des protocoles et Entrées/Sorties découpées en intervalles de 30 secondes (utile pour trouver un éventuel beaconing)
• IPstatistics.txt - Statistiques globales vers/depuis des points de terminaison sur IP et conversations individuelles sur IP
• TCPstatistics.txt - Statistiques globales vers/depuis des points de terminaison sur TCP et conversations TCP individuelles détaillées. <> Ce fichier peut contenir une grande quantité d'informations. Il est recommandé d'utiliser less ou grep pour une conversation spécifique.
• http_info.txt - Données statistiques sur les conversations HTTP
• hostnamesResolved.txt (optionnel) - Noms d'hôtes résolus observés dans le pcap. <> Cela peut entraîner des requêtes DNS vers l'infrastructure de l'attaquant. Procédez avec prudence !
• SMBstatistics.txt - Statistiques sur les commandes exécutées via smb ou smb2
• dnsARecords.txt - Requêtes/réponses DNS de type A
• dnsTXTRecords.txt - Requêtes/réponses DNS de type TXT
• errors.txt - fichier poubelle

• httpHashToObject.txt - Fichier texte contenant l'association hachage md5 vers objet pour référence
• httpVTResults.txt - Fichier texte contenant les résultats de la recherche de hachage md5 d'objets HTTP via l'API VirusTotal
• smbHashToObject.txt - Fichier texte contenant l'association hachage md5 vers objet pour référence
• smbVTResults.txt - Fichier texte contenant les résultats de la recherche de hachage md5 d'objets SMB via l'API VirusTotal

• IPLookupResults.txt - Fichier texte contenant les résultats de géolocalisation IP + réputation IP

• httpObjects.tar.gz - Objets HTTP observés dans le pcap. <> Il peut y avoir beaucoup d'objets HTTP et vous pouvez potentiellement extraire des objets HTTP malveillants selon le pcap. À utiliser avec prudence !
• smbObjects.tar.gz - Objets SMB observés dans le pcap. Il peut y avoir beaucoup d'objets SMB et vous pouvez potentiellement extraire des objets SMB malveillants selon le pcap. À utiliser avec prudence !

Intégration VirusTotal

PacketSifter peut désormais effectuer des recherches de hachage via l'API VirusTotal sur les objets exportés trouvés via SMB/HTTP.

Étapes pour configurer PacketSifter avec l'intégration VirusTotal :

1. Assurez-vous d'avoir jq (https://stedolan.github.io/jq/download/) installé.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
   

2. Assurez-vous d'avoir curl installé.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Intégration AbuseIPDB

PacketSifter peut effectuer des recherches de géolocalisation IP + réputation IP sur les adresses IP renvoyées dans les enregistrements A DNS.

Étapes pour configurer PacketSifter avec l'intégration AbuseIPDB :

1. Assurez-vous d'avoir jq (https://stedolan.github.io/jq/download/) installé.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
   

2. Assurez-vous d'avoir curl installé.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Suggestions ?

N'hésitez pas à me contacter si vous avez des suggestions sur ce qui pourrait être encore extrait ou sur ce qui pourrait être utile pour l'outil.