t4d/phishingkithunterあなたのブランドや組織のファイルや画像を使用するフィッシングキットを検出します。
ブランド/組織のファイルや画像を使用するフィッシングキットを見つけます。
PhishingKitHunter（別名 PKHunter）は、顧客を標的にし、顧客自身のウェブサイトファイル（CSS、JSなど）を利用するフィッシングキャンペーンで使用されるフィッシングキットURLを特定するために作られたツールです。 このツールはPython 3で書かれており、正規のウェブサイト上の特定のファイル（スタイルコンテンツなど）を取得するリファラーURL、またはフィッシングセッション後にユーザーをリダイレクトするURLの分析に基づいています。ログファイルには、ユーザーがどこから来たか、フィッシングキットがどこに展開されているかを示すリファラーURLが（通常）含まれています。 PhishingKitHunterは、設定ファイルに記述した正規表現に基づいて、正規のページを取得しようとする特定の非正規なリファラーを識別するためにログファイルを解析します。
$ ./PhishingKitHunter.py -i LogFile2017.log -o PKHunter-report-20170502-013307.csv -c conf/test.conf
_ \ | / | | |
| | ' / | | | | __ \ __| _ \ __|
___/ . \ ___ | | | | | | __/ |
_| _|\_\_| _|\__,_|_| _|\__|\___|_|
-= Phishing Kit Hunter - v0.8.1 =-
[+] http://badscam.org/includes/ap/?a=2
| タイムスタンプ: 01/May/2017:13:00:03
| HTTPステータス: 接続できません (HTTP Error 404: Not Found)
[+] http://scamme.com/aple/985884e5b60732b1245fdfaf2a49cdfe/
| タイムスタンプ: 01/May/2017:13:00:49
| HTTPステータス: 接続できません (<urlopen error [Errno -2] Name or service not known>)
[+] http://badscam-er.com/eb/?e=4
| タイムスタンプ: 01/May/2017:13:01:06
| HTTPステータス: 接続できません (<urlopen error [Errno -2] Name or service not known>)
[+] http://assur.cam.tech/scam/brand/new/2bd5a55bc5e768e530d8bda80a9b8593/
| タイムスタンプ: 01/May/2017:13:01:14
| HTTPステータス: UP
| HTTP shash : 0032588b8d93a807cf0f48a806ccf125677503a6fabe4105a6dc69e81ace6091
| DOMAIN registrar: ASCIO TECHNOLOGIES, INC. DANMARK - FILIAL AF ASCIO TECHNOLOGIES, INC. USA
| DOMAIN creation date: 2008-07-10 00:00:00
| DOMAIN expiration date: 2017-07-10 00:00:00
[+] http://phish-other.eu/assur/big/phish/2be1c6afdbfc065c410d36ba88e7e4c9/
| タイムスタンプ: 01/May/2017:13:01:15
| HTTPステータス: UP
| HTTP shash : 2a545c4d321e3b3cbb34af62e6e6fbfbdbc00a400bf70280cb00f4f6bb0eac44
| DOMAIN registrar: Hostmaster Strato Rechenzentrum
| DOMAIN creation date: 見つかりませんでした
| DOMAIN expiration date: 見つかりませんでした
697475it [06:41, 1208.14it/s]
$ ./PhishingKitHunter.py --help
_ \ | / | | |
| | ' / | | | | __ \ __| _ \ __|
___/ . \ ___ | | | | | | __/ |
_| _|\_\_| _|\__,_|_| _|\__|\___|_|
-= Phishing Kit Hunter - v0.8.1 =-
-h --help これを表示
-i --ifile 分析する入力ログファイル
-o --ofile 出力CSVレポートファイル（デフォルト: ./PKHunter-report-'date'-'hour'.csv）
-c --config 使用する設定ファイル（デフォルト: ./conf/defaults.conf）
$ cat ./PKHunter-report-20170502-013307.csv
PK_URL;Domain;HTTP_sha256;HTTP_status;date;domain registrar;domain creation date;domain creation date;domain expiration date
http://badscam.org/includes/ap/?a=2;badscam.org;;can't connect (HTTP Error 404: Not Found);01/May/2017:13:00:03;;;
http://assur.cam.tech/scam/brand/new/2bd5a55bc5e768e530d8bda80a9b8593/;assur.cam.tech;0032588b8d93a807cf0f48a806ccf125677503a6fabe4105a6dc69e81ace6091;UP;01/May/2017:13:01:14;None found;None found;Hostmaster Strato Rechenzentrum
[...]
必要なパッケージをインストールします。
pip3 install -r requirements.txt
conf/default.confファイルを読んで、PhishingKitHunterの設定方法を学んでください。
Dockerfileを使用して、このリポジトリを自動的にgit cloneするDockerコンテナを作成できます。 これは最新の軽量Phusionディストリビューションに基づいており、PhishingKitHunterを取得して実行するために必要なパッケージを取得します。
コンテナをビルド:
$ docker build tad/pkhunter .
いくつかのオプション（ローカルのログファイルリポジトリなど）を指定してコンテナを起動:
$ docker run -d -P --name PKHunter --volume /var/log:/opt/logfiles tad/pkhunter
これでシェルを実行して分析を開始できます:
$ docker exec -ti tad/pkhunter /bin/bash