InfraHunter

Caçar ativamente infraestrutura de atacantes filtrando resultados do Shodan com dados do URLScan.

Requisitos

• Chave de API do Shodan
• Chave de API do URLScan
• python3 -m pip install -r requirements.txt

Exemplos de Uso

python3 .\hunter.py -q "http.html:'titan stealer'" -s {Shodan API Key} -u {URLScan API Key}

Consultas Integradas

Você pode usar consultas pré-construídas fornecendo o nome delas com -q. Para listar todas as consultas integradas, execute python .\hunter.py -l.

python3 .\hunter.py -s {Shodan API Key} -u {URLScan API Key} -q google-phishing-http-title

Discord

Você também pode fornecer uma URL para um webhook do Discord com -d, --discord. Isso enviará os resultados para esse webhook em vez de abri-los em um navegador.

O que eu faço?

1. Pesquisar no Shodan com a consulta fornecida por -q, --query
2. Para cada combinação de IP/porta/protocolo e domínio/porta/protocolo, enviá-la para o URLScan
   • Se tiver múltiplas portas abertas, todas as portas serão enviadas
   • Enviar URLs http e https
   • Mesmo processo para todos os domínios
3. Para cada URLScan
   • Verificar se a página analisada retornou um HTTP OK (200)
   • Verificar se há uma captura de tela da página web nos resultados do URLScan
   • Baixar a imagem, calcular seu SHA256 e excluir a imagem
   • Verificar o SHA256 contra uma lista de hashes para excluir (esta lista contém coisas que considerei não maliciosas, mas pretendo criar uma maneira de contornar essa verificação) (a lista existe porque eu uso esta ferramenta para caçar periodicamente)
   • Para cada resultado restante não excluído pela verificação de hash, retornar o resultado

Limitação de Taxa da API

A ferramenta está codificada para aguardar 20 segundos entre os envios ao URLScan, para ser educada. Por padrão, ela usa varreduras públicas; isso pode ser alterado com --scan-type.