RansomWatch

RansomWatch è uno strumento di monitoraggio dei siti di fuga di dati ransomware. Scansiona tutte le voci presenti su vari siti di fuga ransomware, memorizza i dati in un database SQLite e invia notifiche tramite Slack o Discord quando compare una nuova vittima o quando una vittima viene rimossa.

Nota: RansomWatch non viene aggiornato attivamente per gli ultimi siti e si basa principalmente su contributi di terze parti. Ti preghiamo di aprire una pull request e/o di contattarmi su Twitter.

Configurazione

In config_vol/, copia config.sample.yaml in config.yaml e aggiungi quanto segue:

• URL dei siti di fuga. Ho deciso di non rendere pubblica questa lista per evitare che acquisiscano ancora più notorietà, quindi se li conosci, aggiungili. In caso contrario, questo strumento non fa per te.
  • Per ottenere l'onion dell'API Hive, carica il loro sito principale e premi F12 per aprire gli strumenti di sviluppo. Cerca richieste XHR: dovresti vedere alcune verso un dominio onion hiveapi....
• Destinazioni delle notifiche. RansomWatch attualmente supporta le notifiche tramite:
  • Slack: Segui queste istruzioni per aggiungere una nuova app al tuo workspace Slack e aggiungi l'URL del webhook alla configurazione.
  • Discord: Segui queste istruzioni per aggiungere una nuova app al tuo server Discord e aggiungi l'URL del webhook alla configurazione.
  • Teams: Segui queste istruzioni per aggiungere una nuova app al tuo canale Teams e aggiungi l'URL del webhook alla configurazione.

Inoltre, potresti dover impostare alcune variabili d'ambiente:

• RW_DB_PATH: Percorso del database SQLite da utilizzare
• RW_CONFIG_PATH: Percorso del file config.yaml

Entrambe sono già impostate nel file docker-compose.yml fornito.

Utilizzo

Questo strumento è pensato per essere eseguito in Docker tramite un cronjob con l'intervallo che preferisci.

Per prima cosa, costruisci il contenitore: docker-compose build app

Quindi, aggiungilo al tuo crontab. Esempio di entry crontab (esecuzione ogni 8 ore):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

Se preferisci, puoi utilizzare l'immagine pubblicata su Docker Hub (captaingeech/ransomwatch) con un docker-compose.yml simile a questo:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

Può anche essere eseguito tramite riga di comando, ma richiede di avere un proxy Tor (con il servizio di controllo) in esecuzione. Esempio di esecuzione:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

Esempi di messaggi Slack

I messaggi inviati a Discord e Teams sono molto simili nello stile e identici nel contenuto.

Implementazioni dei siti di fuga

I seguenti siti di fuga sono supportati:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

Se ci sono altri siti di fuga che vuoi vedere implementati, sentiti libero di aprire una pull request o di contattarmi su Twitter, @captainGeech42.