
Procure por IPs de C&C que não foram sinkholed nos seus logs do Bro (a partir da lista mestre de C&C da Bambanek Consulting)
Aviso obrigatório: não sou de forma alguma um mestre em programação, então este é um script muito simples. Não confie que ele seja perfeito. No entanto, estou aberto a feedback ou ideias para melhorias :)
Este script baixa a lista mestra de C&C da Bambanek Consulting (http://osint.bambenekconsulting.com/feeds/c2-ipmasterlist.txt), analisa-a e pesquisa nos logs do Bro por ocorrências dos IPs de C&C. Ele salva as entradas do Bro que continham os IPs de C&C em arquivos separados para cada IP e salva sua própria saída em um arquivo de log nomeado no formato c2finder_[date].log.
./c2finder.py bro/logs/current/dns
./c2finder.py bro/logs/current/http
./c2finder.py bro/logs/current/files
O script é pré-configurado com algumas seleções básicas de bro-cut. Se você quiser pesquisar em campos diferentes ou obter outros campos nos seus logs, é tão fácil quanto modificar os comandos no dicionário BROCUT no início da seção principal.