audibleblink/bothanQuesto IP è un server C2?
Conferma che un ip:port ospita Empire. Supporto futuro per altri C2.
# Direct single query
❯❯ bothan -v localhost:8080
DEBU[2020-01-19T20:25:02-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:02-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take a pre-existing list of host:port lines
❯❯ bothan -v -f hostslist.txt
DEBU[2020-01-19T20:25:10-05:00] Requesting... host="localhost:8080"
INFO[2020-01-19T20:25:10-05:00] SUCCESS host="http://localhost:8080" tool=empire
# Take Stdin
❯❯ cat masscan.oD.txt | jq -r '. | "\(.ip):\(.port)"' | bothan -f -
ERRO[2020-01-19T20:25:25-05:00] Get https://1.1.1.1:53: EOF host="1.1.1.1:53"
INFO[2020-01-19T20:25:25-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
# For masscan specifically, there's an option to parse its -oD json output format
❯❯ masscan 192.168.1.0/24 -p 8080 -oD - | bothan --masscan -f -
INFO[2020-01-19T20:25:31-05:00] SUCCESS host="http://192.168.1.199:8080" tool=empire
I successi vengono scritti su Stdout, tutti gli altri log su Stderr.
go get github.com/audibleblink/bothan
gomakemakebin
├── 386
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── amd64
│ ├── bothan.darwin
│ ├── bothan.linux
│ └── bothan.windows.exe
├── arm
│ └── bothan.linux
└── arm64
└── bothan.linux
4 directories, 8 files
Per testare durante lo sviluppo, inizialmente ho eseguito Empire nel suo stato predefinito, e poi l'ho personalizzato. Dopodiché, mi sono affidato a server elencati da feed pubblici di threat intel per testare; circa 100.
98 sono stati identificati come Empire. Uno è semplicemente andato in timeout e l'altro sembrava pesantemente modificato.
Vale a dire, non avevo un set di campioni che considererei statisticamente rilevante su cui testare, quindi per favore segnala eventuali falsi {positivi,negativi} che incontri.