RansomWatch

RansomWatch é uma ferramenta de monitoramento de sites de vazamento de ransomware. Ela coleta todas as entradas de vários sites de vazamento de ransomware, armazena os dados em um banco de dados SQLite e envia notificações via Slack ou Discord quando uma nova vítima aparece ou quando uma vítima é removida.

Nota: O RansomWatch não está sendo atualizado ativamente para os sites mais recentes, dependendo principalmente de contribuições de terceiros. Por favor, abra um pull request e/ou me envie uma mensagem direta no Twitter.

Configuração

Em config_vol/, copie config.sample.yaml para config.yaml e adicione o seguinte:

• URLs dos sites de vazamento. Decidi não tornar esta lista pública para evitar que ganhem ainda mais notoriedade. Portanto, se você as tiver, adicione-as. Caso contrário, esta ferramenta não é para você.
  • Para obter a onion da API do Hive, acesse o site principal deles e pressione F12 para usar as ferramentas do desenvolvedor. Procure por requisições XHR; você deve ver algumas para um domínio onion hiveapi....
• Destinos de notificação. Atualmente, o RansomWatch suporta notificação através de:
  • Slack: Siga estas instruções para adicionar um novo aplicativo ao seu workspace do Slack e adicione a URL do webhook na configuração.
  • Discord: Siga estas instruções para adicionar um novo aplicativo ao seu servidor Discord e adicione a URL do webhook na configuração.
  • Teams: Siga estas instruções para adicionar um novo aplicativo ao seu canal do Teams e adicione a URL do webhook na configuração.

Além disso, há algumas variáveis de ambiente que você pode precisar definir:

• RW_DB_PATH: Caminho para o banco de dados SQLite a ser usado
• RW_CONFIG_PATH: Caminho para o arquivo config.yaml

Ambas estão definidas no arquivo docker-compose.yml fornecido.

Uso

Isto é destinado a ser executado em Docker via um cronjob no intervalo que você decidir usar.

Primeiro, construa o container: docker-compose build app

Depois, adicione-o ao seu crontab. Exemplo de entrada no crontab (executando a cada 8 horas):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

Se preferir, você pode usar a imagem publicada no Docker Hub (captaingeech/ransomwatch) em vez disso, com um docker-compose.yml parecido com este:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

Isso também pode ser executado via linha de comando, mas requer que você tenha seu próprio proxy Tor (com o serviço de controle) em execução. Exemplo de execução:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

Exemplos de mensagens no Slack

As mensagens enviadas para o Discord e Teams são muito semelhantes em estilo e idênticas em conteúdo.

Implementações de sites de vazamento

Os seguintes sites de vazamento são suportados:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

Se houver outros sites de vazamento que você gostaria que fossem implementados, sinta-se à vontade para abrir um PR ou me enviar uma mensagem direta no Twitter, @captainGeech42.