Just-Metadata

Just-Metadata는 대량의 IP 주소에 대해 수동적으로 정보를 수집하고, 일반적으로는 보이지 않을 수 있는 관계를 추론하는 데 사용할 수 있는 도구입니다. Just-Metadata에는 인터넷 상의 여러 리소스에서 프레임워크에 로드된 IP에 대한 메타데이터를 수집하는 "gather" 모듈이 있습니다. 또한 Just-Metadata에는 "analysis" 모듈이 있습니다. 이 모듈은 로드된 Just-Metadata 데이터를 분석하고 로드된 시스템 간의 잠재적인 관계를 식별할 수 있는 다양한 작업을 수행하는 데 사용됩니다.

Just-Metadata를 사용하면 로드된 IP 주소가 위치한 상위 "X"개의 주, 도시, 시간대 등을 빠르게 찾을 수 있습니다. 국가별로 IP 주소를 검색할 수도 있습니다. VirusTotal에서 식별된 콜백에 사용된 IP를 찾기 위해 모든 IP를 검색할 수 있습니다. 로드된 IP 중 Animus Project를 통해 공격에 참여한 것으로 문서화된 IP가 있는지 확인하고 싶다면 Just-Metadata가 그 작업을 수행할 수 있습니다.

또한, 사용 가능한 데이터를 기반으로 로드된 IP 간의 다른 관계를 찾을 수 있도록 새로운 분석 모듈을 쉽게 생성할 수 있습니다. 새로운 정보 수집 모듈도 마찬가지로 쉽게 추가할 수 있습니다!

설정

이상적으로는 설정 스크립트를 실행하면 필요한 모든 것이 설치되어야 합니다.

Shodan 정보 수집 모듈을 사용하려면 Shodan API 키가 필요합니다. 비용은 약 9달러 정도이니, 투자할 가치가 있습니다 :).

사용법

현재 Just-Metadata는 각각 새 줄에 IP 주소가 하나씩 포함된 단일 텍스트 파일을 읽도록 설계되었습니다. 이 파일은 모든 소스(C2 콜백 IP, 웹 서버 로그 등)에서 생성할 수 있습니다. 이 파일을 준비한 후에는 다음 명령으로 Just-Metadata를 시작합니다:

./Just-Metadata.py

명령어

help - 프레임워크 내에서 사용 가능한 명령어 목록과 각 명령어에 대한 설명을 보려면 "help" 명령어를 입력하세요.

load <filename> - load 명령어는 추가 매개변수로 사용자가 Just-Metadata에 IP 주소를 로드할 파일 이름을 받습니다. 이 명령어는 파일을 열고 파일 내의 모든 IP를 프레임워크에 로드합니다.

예: load ipaddresses.txt

save - save 명령어는 Just-Metadata의 현재 작업 상태를 저장하는 데 사용할 수 있습니다. 이는 IP에 대한 정보를 수집한 후 상태를 나중에 다시 작업할 수 있도록 디스크에 저장하려는 경우 등 여러 경우에 유용합니다. "save"를 입력하면 Just-Metadata가 상태를 디스크에 저장하고 저장된 상태의 파일 이름을 표시합니다.

import <statefile> - import 명령어는 이전에 저장된 Just-Metadata 상태를 프레임워크에 로드하는 데 사용할 수 있습니다. 저장된 모든 IP와 IP 주소에 대해 수집된 모든 정보를 로드합니다. 이 명령어는 추가 매개변수로 Just-Metadata가 로드할 상태 파일의 이름이 필요합니다.

예: import goodfile.state

list <module type> - list 명령어는 Just-Metadata에 로드된 다양한 유형의 모듈을 나열하는 데 사용할 수 있습니다. 이 명령어는 추가 매개변수로 "analysis" 또는 "gather"를 받습니다. Just-Metadata는 사용자가 요청한 유형의 모든 모듈을 표시합니다.

예: list analysis

예: list gather

gather <gather module name> - gather 명령어는 지정된 모듈을 실행하여 해당 소스에서 정보를 수집하도록 Just-Metadata에 지시합니다. 이를 통해 지리적 정보, VirusTotal, whois 등을 수집할 수 있습니다. 모두 모듈에 따라 다릅니다. 수집된 데이터는 프레임워크 메모리에 저장되며 "save" 명령어로 디스크에 저장할 수도 있습니다.

예: gather geoinfo

예: gather virustotal

analyze <analysis module name> - analyze 명령어는 프레임워크에 로드된 데이터에 대해 분석 모듈을 실행하도록 Metadata에 지시합니다. 이 모듈은 동일한 SSH 키, SSL 공개 키 인증서 또는 인증서 체인을 공유하는 IP 주소를 찾는 데 사용할 수 있습니다. 또한 악성 실행 파일에 의해 동일한 콜백에 사용된 IP 주소를 찾는 데 사용할 수 있습니다.

ip_info <IP Address> - 이 명령어는 특정 IP 주소에 대한 모든 정보를 덤프하는 데 사용됩니다. 현재는 분석 모듈을 실행한 후 사용됩니다. 예를 들어 동일한 SSH 키를 공유하는 IP 주소를 식별한 후 해당 IP에 대한 모든 정보를 덤프할 수 있습니다. 해당 IP가 악성코드에 사용되었는지, 위치는 어디인지 등을 확인할 수 있습니다.

export - export 명령어는 프레임워크에 현재 로드된 모든 IP 주소에 대해 수집된 모든 정보를 CSV로 덤프합니다.

감사

개발 초기에 피드백, 디자인 아이디어를 제공하고 조언을 해준 Justin Warner(@sixdub)에게 감사드립니다!