Network Flight Simulator

flightsim é um utilitário leve usado para gerar tráfego de rede malicioso e ajudar equipes de segurança a avaliar controles de segurança e visibilidade de rede. A ferramenta realiza testes para simular tunelamento DNS, tráfego DGA, requisições para destinos C2 ativos conhecidos e outros padrões de tráfego suspeitos.

Instalação

Baixe o binário mais recente do flightsim para seu sistema operacional na página de GitHub Releases. Alternativamente, o utilitário pode ser compilado usando Golang em qualquer ambiente (ex.: Linux, MacOS, Windows), conforme abaixo:

go install github.com/alphasoc/flightsim/v2@latest

Executando o Network Flight Simulator

Após a instalação, teste o flightsim da seguinte forma:

$ flightsim --help

AlphaSOC Network Flight Simulator™ (https://github.com/alphasoc/flightsim)

flightsim is an application which generates malicious network traffic for security
teams to evaluate security controls (e.g. firewalls) and ensure that monitoring tools
are able to detect malicious traffic.

Usage:
    flightsim <command> [arguments]

Available commands:
    get         Get a list of elements (ie. families) of a certain category (ie. c2)
    run         Run all modules, or a particular module
    version     Prints the version number

Cheatsheet:
    flightsim run                   Run all the modules
    flightsim run c2                Simulate C2 traffic
    flightsim run c2:trickbot       Simulate C2 traffic for the TrickBot family
    flightsim run ssh-transfer:1GB  Simulate a 1GB SSH/SFTP file transfer

    flightsim get families:c2       Get a list of all c2 families

O utilitário executa módulos individuais para gerar tráfego malicioso. Para realizar todos os testes disponíveis, use simplesmente flightsim run, que gerará tráfego usando a primeira interface de rede não-loopback disponível. Nota: ao executar muitos módulos, o flightsim coletará endereços de destino da API AlphaSOC, portanto requer acesso à Internet de saída.

Para listar os módulos disponíveis, use flightsim run --help. Para executar um teste específico, use flightsim run <módulo>, conforme abaixo.

$ flightsim run --help
usage: flightsim run [flags] [modules]

To run all available modules, call:

    flightsim run

 To run a specific module:

    flightsim run c2

Available modules:

        c2, dga, imposter, miner, scan, sink, spambot, ssh-exfil, ssh-transfer, tunnel-dns, tunnel-icmp

Available flags:
  -dry
        print actions without performing any network activity
  -fast
        reduce sleep intervals between simulation events
  -iface string
        network interface or local IP address to use
  -size int
        number of hosts generated for each simulator

$ flightsim run dga

AlphaSOC Network Flight Simulator™  (https://github.com/alphasoc/flightsim)
The address of the network interface for IP traffic is 192.168.220.38
The address of the network interface for DNS queries is 192.168.220.38
The current time is 26-Oct-21 17:28:51

17:28:51 [dga] Generating a list of DGA domains
17:28:51 [dga] Resolving 6kauziij.com
17:28:52 [dga] Resolving paxeo0jk.biz
17:28:53 [dga] Resolving iuuub8al.biz
17:28:54 [dga] Resolving bxsei3nj.com
17:28:55 [dga] Resolving zbwltf1h.space
17:28:56 [dga] Resolving yoze7avi.com
17:28:57 [dga] Resolving ijax8aqw.space
17:28:58 [dga] Resolving wwrjyj4l.space
17:28:59 [dga] Resolving uioc5hky.com
17:29:00 [dga] Resolving lcwdji5t.biz
17:29:01 [dga] Resolving zluwcb4h.biz
17:29:02 [dga] Resolving 8jodcvhj.space
17:29:03 [dga] Resolving ju5haxur.com
17:29:04 [dga] Resolving ivthu2dl.biz
17:29:05 [dga] Resolving ha0bsxft.com
17:29:05 [dga] Done (15/15)

All done! Check your SIEM for alerts using the timestamps and details above.

O utilitário também possui um comando get que pode ser usado para consultar informações que posteriormente podem ser usadas com os módulos de simulação. Atualmente, uma lista de famílias C2 pode ser obtida para uso com o módulo C2. Para ver como usar o comando get, execute flightsim get -h conforme abaixo.

$ flightsim get -h

AlphaSOC Network Flight Simulator™  (https://github.com/alphasoc/flightsim)
The current time is 26-Oct-21 17:42:23

usage: flightsim get [flags] element:category

Available elements:

        families

Available categories:

        c2

Available flags:

Para obter uma lista de famílias C2, execute:

$ flightsim get families:c2

AlphaSOC Network Flight Simulator™  (https://github.com/alphasoc/flightsim)
The current time is 16-Nov-21 11:16:51

11:16:51 [families:c2] Fetching c2 families
11:16:55 [families:c2] Adwind, Agent Tesla, Amadey, AsyncRAT, AZORult, BASHLITE, BazarBackdoor, BlackNET RAT, Cobalt Strike, Collector Stealer, CryptBot, DarkComet, DiamondFox, Dridex, Emotet, Gozi, IcedID, Kimsuky, KPOT Stealer, LokiBot, Mirai, NanoCore RAT, njRAT, Oski Stealer, Pony, Predator the Thief, Quakbot, RedLine, RedLine Stealer, Remcos RAT, Smoke Loader, Taurus, TrickBot, XtremeRAT, Zloader
11:16:55 [families:c2] Fetched 35 c2 families

All done!

Descrição dos Módulos

Os módulos incluídos no utilitário estão listados na tabela abaixo.

`c2`	Gera tráfego DNS e IP para uma lista aleatória de destinos C2 conhecidos
`cleartext`	Gera tráfego de texto claro aleatório para um serviço de Internet operado pela AlphaSOC
`dga`	Simula tráfego DGA usando rótulos aleatórios e domínios de topo
`imposter`	Gera tráfego DNS para uma lista de domínios impostores
`irc`	Conecta-se a uma lista aleatória de servidores IRC públicos
`miner`	Gera tráfego do protocolo de mineração Stratum para pools de criptomoedas conhecidas
`oast`	Simula tráfego de teste de segurança de aplicações fora de banda (OAST)
`scan`	Realiza uma varredura de portas de endereços RFC 5737 aleatórios usando portas TCP comuns
`sink`	Conecta-se a destinos sinkhole conhecidos operados por pesquisadores de segurança
`spambot`	Resolve e conecta-se a servidores SMTP aleatórios da Internet para simular um spam bot
`ssh-exfil`	Simula uma transferência de arquivo SSH para um serviço executando em uma porta SSH não padrão
`ssh-transfer`	Simula uma transferência de arquivo SSH para um serviço executando em uma porta SSH
`telegram-bot`	Gera tráfego da API do Telegram Bot usando um token aleatório ou fornecido
`tunnel-dns`	Gera requisições de tunelamento DNS para *.sandbox.alphasoc.xyz
`tunnel-icmp`	Gera tráfego de tunelamento ICMP para um serviço de Internet operado pela AlphaSOC

flightsim

Mais Populares

Network Flight Simulator

Instalação

Executando o Network Flight Simulator

Descrição dos Módulos