packetsifterTool

PacketSifter è uno strumento/script progettato per aiutare gli analisti a setacciare una cattura di pacchetti (pcap) per trovare traffico degno di nota. PacketSifter accetta un pcap come argomento e produce diversi file.

OPZIONI:

• -a   abilita le ricerche abuseipdb degli indirizzi IP nei record DNS A
• -h   stampa l'aiuto
• -i   file di input [Obbligatorio]
• -r   risolve i nomi host nel pcap [Può provocare query DNS verso l'infrastruttura dell'attaccante]
• -v   abilita la ricerca VirusTotal degli oggetti SMB/HTTP esportati

Requisiti

tshark - https://tshark.dev/setup/install/

Output

Attualmente, PacketSifter genera i seguenti pcap:

• http.pcap - Tutte le conversazioni contenenti la porta 80, 8080 o 8000
• smb.pcap - Tutte le conversazioni categorizzate dai dissettori tshark come NBSS, SMB o SMB2
• dns.pcap - Tutte le conversazioni categorizzate dai dissettori tshark come DNS
• ftp.pcap - Tutte le conversazioni categorizzate dai dissettori tshark come FTP

• IOstatistics.txt - Gerarchia di protocollo e Input/Output suddivisi in intervalli di 30 secondi (utile per trovare potenziali beaconing)
• IPstatistics.txt - Statistiche generali da/verso gli endpoint su IP e singole conversazioni su IP
• TCPstatistics - Statistiche generali da/verso gli endpoint su TCP e singole conversazioni TCP suddivise. <> Questo file può contenere una grande quantità di informazioni. Si consiglia di usare less o grep per una conversazione specifica.
• http_info.txt - Dati statistici sulle conversazioni HTTP
• hostnamesResolved.txt (opzionale) - Nomi host risolti osservati nel pcap. <> Questo può provocare query DNS verso l'infrastruttura dell'attaccante. Procedi con cautela!!
• SMBstatistics.txt - Statistiche sui comandi eseguiti usando smb o smb2
• dnsARecords.txt - Query/risposte DNS A
• dnsTXTRecords.txt - Query/risposte DNS TXT
• errors.txt - file spazzatura

• httpHashToObject.txt - File di testo contenente l'associazione hash md5 a oggetto per riferimento
• httpVTResults.txt - File di testo contenente i risultati della ricerca hash md5 degli oggetti http tramite API VirusTotal
• smbHashToObject.txt - File di testo contenente l'associazione hash md5 a oggetto per riferimento
• smbVTResults.txt - File di testo contenente i risultati della ricerca hash md5 degli oggetti smb tramite API VirusTotal

• IPLookupResults.txt - File di testo contenente i risultati di geolocalizzazione IP + reputazione IP

• httpObjects.tar.gz - Oggetti HTTP osservati nel pcap. <> Potrebbero esserci molti oggetti HTTP e potenzialmente potresti estrarre oggetti HTTP maliziosi a seconda del pcap. Usa con cautela!!
• smbObjects.tar.gz - Oggetti SMB osservati nel pcap. Potrebbero esserci molti oggetti SMB e potenzialmente potresti estrarre oggetti SMB maliziosi a seconda del pcap. Usa con cautela!!

Integrazione VirusTotal

PacketSifter può ora eseguire ricerche di hash tramite API VirusTotal degli oggetti esportati trovati via SMB/HTTP.

Passaggi per configurare PacketSifter con l'integrazione VirusTotal:

1. Assicurati di avere jq (https://stedolan.github.io/jq/download/) installato.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Assicurati di avere curl installato.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Integrazione AbuseIPDB

PacketSifter può eseguire ricerche di geolocalizzazione IP + reputazione IP degli indirizzi IP restituiti nei record DNS A.

Passaggi per configurare PacketSifter con l'integrazione AbuseIPDB:

1. Assicurati di avere jq (https://stedolan.github.io/jq/download/) installato.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Assicurati di avere curl installato.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Suggerimenti?

Contattaci se hai suggerimenti su cosa altro vorresti che fosse setacciato o cos'altro potrebbe essere utile per lo strumento.