Just-Metadata

Just-Metadata est un outil qui peut être utilisé pour collecter passivement des informations de renseignement sur un grand nombre d'adresses IP, et tenter d'extrapoler des relations qui pourraient autrement ne pas être visibles. Just-Metadata possède des modules « gather » qui servent à collecter des métadonnées sur les IP chargées dans le framework à partir de multiples ressources sur Internet. Just-Metadata dispose également de modules « analysis ». Ceux-ci sont utilisés pour analyser les données chargées dans Just-Metadata et effectuer diverses opérations pouvant identifier des relations potentielles entre les systèmes chargés.

Just-Metadata vous permettra de trouver rapidement le Top « X » des états, villes, fuseaux horaires, etc. où se trouvent les adresses IP chargées. Il vous permettra de rechercher des adresses IP par pays. Vous pouvez rechercher toutes les IP pour trouver lesquelles sont utilisées dans des « callbacks » identifiés par VirusTotal. Vous voulez savoir si des IP chargées ont été documentées comme ayant participé à des attaques via le projet Animus ? Just-Metadata peut le faire.

De plus, il est facile de créer de nouveaux modules d'analyse pour permettre aux utilisateurs de trouver d'autres relations entre les IP chargées en fonction des données disponibles. De nouveaux modules de collecte de renseignements peuvent être ajoutés tout aussi facilement !

Installation

Idéalement, vous devriez pouvoir exécuter le script d'installation, et il installera tout ce dont vous avez besoin.

Pour le module de collecte d'informations Shodan, VOUS AUREZ BESOIN d'une clé API Shodan. Cela coûte environ 9 dollars, allez, ça vaut le coup :).

Utilisation

Pour l'instant, Just-Metadata est conçu pour lire un seul fichier texte contenant des IP, chacune sur sa propre ligne. Créez ce fichier à partir de n'importe quelle source (IP de callback C2, journaux de serveurs web, etc.). Une fois ce fichier prêt, démarrez Just-Metadata en l'appelant :

./Just-Metadata.py

Commandes

help - Une fois dans le framework, pour voir la liste des commandes disponibles et une description de ce qu'elles font, tapez la commande « help ».

load <filename> - La commande load prend un paramètre supplémentaire, le nom du fichier à partir duquel vous (l'utilisateur) voulez que Just-Metadata charge les adresses IP. Cette commande ouvrira et chargera toutes les IP du fichier dans le framework.

Exemple : load ipaddresses.txt

save - La commande save peut être utilisée pour sauvegarder l'état de travail actuel de Just-Metadata. Cela est utile dans plusieurs cas, par exemple après avoir collecté des informations sur des IP et vouloir sauvegarder l'état sur disque pour pouvoir y travailler plus tard. Taper simplement « save » entraînera la sauvegarde de l'état sur disque par Just-Metadata, et l'affichage du nom du fichier de l'état sauvegardé.

import <statefile> - La commande import peut être utilisée pour charger un état précédemment sauvegardé de Just-Metadata dans le framework. Elle chargera toutes les IP qui ont été sauvegardées, et toutes les informations collectées sur les adresses IP. Cette commande nécessitera un paramètre supplémentaire, le nom du fichier d'état que vous voulez que Just-Metadata charge.

Exemple : import goodfile.state

list <module type> - La commande list peut être utilisée pour lister les différents types de modules chargés dans Just-Metadata. Cette commande prend un paramètre supplémentaire, soit « analysis » soit « gather ». Just-Metadata affichera tous les modules du type demandé par l'utilisateur.

Exemple : list analysis

Exemple : list gather

gather <nom du module gather> - La commande gather demande à Just-Metadata d'exécuter le module spécifié et de collecter des informations à partir de cette source. Cela peut être utilisé pour collecter des informations géographiques, VirusTotal, whois, et plus encore. Tout dépend du module. Les données collectées seront stockées dans le framework en mémoire et peuvent également être sauvegardées sur disque avec la commande « save ».

Exemple : gather geoinfo

Exemple : gather virustotal

analyze <nom du module analysis> - La commande analyze demande à Just-Metadata d'exécuter un module d'analyse sur les données chargées dans le framework. Ces modules peuvent être utilisés pour trouver des adresses IP qui partagent les mêmes clés SSH ou certificats de clé publique SSL, ou les mêmes chaînes de certificats. Ils peuvent également être utilisés pour trouver des adresses IP utilisées dans les mêmes callbacks par des exécutables malveillants.

ip_info <Adresse IP> - Cette commande est utilisée pour afficher toutes les informations sur une adresse IP spécifique. Elle est actuellement utilisée après avoir exécuté des modules d'analyse. Par exemple, après avoir identifié des adresses IP qui partagent les mêmes clés SSH, je peux afficher toutes les informations sur ces IP. Je peux voir si elles ont été utilisées par des malwares, où elles se trouvent, etc.

export - La commande export fera en sorte que Just-Metadata exporte toutes les informations collectées sur toutes les adresses IP actuellement chargées dans le framework vers un fichier CSV.

Remerciements

Merci à Justin Warner (@sixdub) pour m'avoir aidé avec des retours initiaux, des idées de conception, et pour avoir servi de caisse de résonance pendant le développement !