concinnity-risks/ransomcoinpublicバイナリから暗号通貨アドレスやその他の侵害指標（IoC）を抽出するためのDFIRツール。
ランサムウェアからメタデータとハードコードされた侵害指標（IoC）を、スケーラブルかつ効率的な方法で抽出します。Cuckooとの統合が可能で、理想的にはCuckoo動的解析中に実行されますが、大規模なランサムウェアコレクションに対する静的解析にも使用できます。高速で、暗号通貨アドレスに対する偽陽性率が低くなるように設計されています。メール、URL、Onion、ドメインに対する偽陽性は限定的です（完全にするのはかなり困難です）。
要するに、収益化ベクターのみが必要な場合の高速かつ簡単な初期トリアージです。
Python3がインストールされていることを確認してください。
VirtualBoxなどの仮想化ソフトウェアをダウンロードしてインストールすることをお勧めします。お好みのLinux仮想マシン（例：Lubuntu、Kali Linuxなど）をインストールし、以下の手順に従ってください。
toolsフォルダから:
sudo apt-get install build-essential libpoppler-cpp-dev pkg-config python-dev python3-tlsh
python3 -m pip install -r requirements.txt
注意: 「No module named pip」というエラーが表示された場合は、以下を実行してみてください。
sudo apt-get install python3-pip
チュートリアルビデオが利用可能です: https://asciinema.org/a/408350。そのURLが機能しない場合は、https://youtu.be/3pUDh5HvqVI を試してください。
以下のコマンドは"Tools"フォルダから実行して、このディレクトリにあるマルウェアサンプルを分析できます。これにより、ディレクトリ内のすべてのファイルに対してコードが実行され、TQDMを介して推定完了時間が表示されます。作業ディレクトリ内のRansomware.csvというファイル（結果を含む）への書き込みアクセスが必要です。ただし、コードは読み取り専用のマルウェアファイルに対しても実行可能であるため、Ransomware.csvのみ書き込みアクセスが必要です。
coinlector.pyを実行すると、結果は同じディレクトリにあるRansomware.csvというファイルに出力されます。
python3 coinlector.py
結果を表示するには以下を実行
less Ransomware.csv
現在、以下をテストしています:
以下のgrepコマンドを実行して、URL、メールアドレス、および暗号通貨アドレスを表示します。
less Ransomware.csv | grep URL
less Ransomware.csv | grep Email
less Ransomware.csv | grep Address
Moneroアドレスをgrepするには以下を実行
less Ransomware.csv | grep XMR
同じコマンドを使用して、上記のリストの略語を用いて他の暗号通貨を検索できます。
tempuscoin.pyはタイムスタンプ付きの身代金取引のリストを出力します。TemporalRansoms.csvファイルが作成され、送信元と受信先のビットコインアドレス、BTCでの金額、および取引時点でのEUR、USDでの同等の値が表示されます。
python3 tempuscoin.py
結果を表示するには以下を実行。
less TemporalRansoms.csv
このコードは、お使いのMISPインスタンスで使用できるように変更する必要があるでしょう。PyMISPを使用してRansomware.csvファイルからイベントを作成し、イベントのグループは同じ名前を共有します。デフォルトでは、公開されていないイベントを作成し、公開前に手動で詳細を追加します。結果は異なる場合があります（YMMV）。
このプロジェクトのソフトウェア開発に対する匿名の寄付をMoneroアドレスで受け付けています: 82XYqsdEi6oCe2Rekg99pCjPxGCyJyNaA9m5R51LqDPgD1PGvS82YA9PUpPL3uXZf4ZZT2DnLBejKCXyk2YbmJUEB6FoTik
