RansomWatch

RansomWatchはランサムウェアのリークサイト監視ツールです。様々なランサムウェアリークサイトの全エントリをスクレイピングし、データをSQLiteデータベースに保存し、新しい被害者が現れた時や被害者が削除された時にSlackまたはDiscord経由で通知を送信します。

注：RansomWatchは最新サイトに対して積極的に更新されておらず、主にサードパーティの貢献に依存しています。プルリクエストを開くか、Twitter（@captainGeech42）でDMを送ってください。

設定

config_vol/内で、config.sample.yamlをconfig.yamlにコピーし、以下を追加してください：

• リークサイトのURL。それらがさらに悪名を高めるのを防ぐためにこのリストを公開しないことにしました。そのため、もしお持ちであれば追加してください。そうでなければ、このツールはあなた向けではありません。
  • Hive APIのオニオンを入手するには、メインサイトをロードし、F12キーを押して開発者ツールを使用します。XHRリクエストを探すと、hiveapi...というオニオンドメインへのリクエストがいくつか見つかるはずです。
• 通知先。RansomWatchは現在、以下を介した通知をサポートしています：
  • Slack: こちらの指示に従って、Slackワークスペースに新しいアプリを追加し、ウェブフックURLを設定に追加します。
  • Discord: こちらの指示に従って、Discordサーバーに新しいアプリを追加し、ウェブフックURLを設定に追加します。
  • Teams: こちらの指示に従って、Teamsチャンネルに新しいアプリを追加し、ウェブフックURLを設定に追加します。

さらに、設定が必要な環境変数がいくつかあります：

• RW_DB_PATH: 使用するSQLiteデータベースのパス
• RW_CONFIG_PATH: config.yamlファイルへのパス

これらは両方とも、提供されているdocker-compose.yml内で設定されています。

使い方

これは、任意の間隔でcronジョブを介してDocker内で実行することを想定しています。

まず、コンテナをビルドします：docker-compose build app

次に、crontabに追加します。crontabエントリの例（8時間ごとに実行）：

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

代わりに、Docker Hubで公開されているイメージ（captaingeech/ransomwatch）を使用し、次のようなdocker-compose.ymlを使用することもできます：

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

コマンドラインから実行することもできますが、その場合は独自のTorプロキシ（制御サービス付き）を実行している必要があります。実行例：

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

Slackメッセージの例

DiscordやTeamsに送信されるメッセージは、スタイルが非常に似ており、内容は同一です。

対応リークサイト

以下のリークサイトがサポートされています：

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

他に実装を希望するリークサイトがあれば、遠慮なくPRを開くか、Twitter（@captainGeech42）でDMを送ってください。