RansomWatch

RansomWatch एक ransomware लीक साइट निगरानी उपकरण है। यह विभिन्न ransomware लीक साइटों पर सभी प्रविष्टियों को स्क्रैप करेगा, डेटा को SQLite डेटाबेस में संग्रहीत करेगा, और जब कोई नया पीड़ित दिखाई देता है या जब कोई पीड़ित हटा दिया जाता है, तो Slack या Discord के माध्यम से सूचनाएं भेजेगा।

नोट: RansomWatch नवीनतम साइटों के लिए सक्रिय रूप से अपडेट नहीं किया जा रहा है, और अधिकतर तृतीय-पक्ष योगदानों पर निर्भर है। कृपया एक पुल अनुरोध खोलें, और/या मुझे Twitter पर DM करें।

कॉन्फ़िगरेशन

config_vol/ में, कृपया config.sample.yaml को config.yaml में कॉपी करें, और निम्नलिखित जोड़ें:

• लीक साइट URLs। मैंने उन्हें और अधिक कुख्याति दिलाने से रोकने के लिए इस सूची को सार्वजनिक नहीं करने का निर्णय लिया, इसलिए यदि आपके पास हैं, तो उन्हें जोड़ें। यदि नहीं, तो यह उपकरण आपके लिए नहीं है।
  • Hive API onion प्राप्त करने के लिए, उनकी मुख्य साइट पर जाएं और डेवलपर टूल का उपयोग करने के लिए F12 दबाएं। XHR अनुरोधों की तलाश करें, आपको कुछ hiveapi... onion डोमेन पर दिखाई देंगे।
• सूचना गंतव्य। RansomWatch वर्तमान में निम्नलिखित के माध्यम से सूचित करने का समर्थन करता है:
  • Slack: अपने Slack कार्यक्षेत्र में एक नया ऐप जोड़ने और कॉन्फ़िग में वेबहुक URL जोड़ने के लिए इन निर्देशों का पालन करें।
  • Discord: अपने Discord सर्वर में एक नया ऐप जोड़ने और कॉन्फ़िग में वेबहुक URL जोड़ने के लिए इन निर्देशों का पालन करें।
  • Teams: अपने Teams चैनल में एक नया ऐप जोड़ने और कॉन्फ़िग में वेबहुक URL जोड़ने के लिए इन निर्देशों का पालन करें।

इसके अतिरिक्त, कुछ पर्यावरण चर हैं जिन्हें आपको सेट करने की आवश्यकता हो सकती है:

• RW_DB_PATH: SQLite डेटाबेस के लिए पथ
• RW_CONFIG_PATH: config.yaml फ़ाइल का पथ

ये दोनों प्रदान की गई docker-compose.yml में सेट हैं।

उपयोग

इसे आप जिस भी अंतराल पर उपयोग करना चाहते हैं, उस पर क्रॉनजॉब के माध्यम से Docker में चलाने का इरादा है।

पहले, कंटेनर बनाएं: docker-compose build app

फिर, इसे अपने crontab में जोड़ें। उदाहरण crontab प्रविष्टि (हर 8 घंटे चलता है):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

यदि आप चाहें, तो आप Docker Hub पर प्रकाशित छवि (captaingeech/ransomwatch) का उपयोग कर सकते हैं, एक docker-compose.yml के साथ जो कुछ इस तरह दिखता है:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

इसे कमांड लाइन के माध्यम से भी चलाया जा सकता है, लेकिन इसके लिए आपके पास अपना स्वयं का Tor प्रॉक्सी (नियंत्रण सेवा सहित) चल रहा होना चाहिए। उदाहरण निष्पादन:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

उदाहरण Slack संदेश

Discord और Teams को भेजे गए संदेश शैली में बहुत समान हैं, सामग्री में समान हैं।

लीक साइट कार्यान्वयन

निम्नलिखित लीक साइटें समर्थित हैं:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker
• Astro Team
• BlackMatter
• Arvin
• El_Cometa
• Lorenz
• Xing
• Lockbit
• AvosLocker
• LV
• Marketo
• Lockdata
• Rook

यदि आप अन्य लीक साइटों को लागू करना चाहते हैं, तो बेझिझक एक PR खोलें या मुझे Twitter पर DM करें, @captainGeech42