packetsifterTool

PacketSifter é uma ferramenta/script projetada para ajudar analistas a examinar uma captura de pacotes (pcap) e encontrar tráfego relevante. O PacketSifter aceita um pcap como argumento e gera vários arquivos.

OPÇÕES:

• -a   ativar consultas abuseipdb de endereços IP em registros DNS A
• -h   exibir ajuda
• -i   arquivo de entrada [Obrigatório]
• -r   resolver nomes de host no pcap [Pode resultar em consultas DNS à infraestrutura do atacante]
• -v   ativar consulta VirusTotal de objetos SMB/HTTP exportados

Requisitos

tshark - https://tshark.dev/setup/install/

Saída

Atualmente, o PacketSifter gera os seguintes pcaps:

• http.pcap - Todas as conversas contendo porta 80, 8080 ou 8000
• smb.pcap - Todas as conversas categorizadas pelos dissecadores do tshark como NBSS, SMB ou SMB2
• dns.pcap - Todas as conversas categorizadas pelos dissecadores do tshark como DNS
• ftp.pcap - Todas as conversas categorizadas pelos dissecadores do tshark como FTP

• IOstatistics.txt - Hierarquia de Protocolos e Entrada/Saída divididas em intervalos de 30 segundos (útil para encontrar possíveis beaconing)
• IPstatistics.txt - Estatísticas gerais de/para endpoints via IP e conversas individuais via IP
• TCPstatistics - Estatísticas gerais de/para endpoints via TCP e conversas individuais TCP detalhadas. <> Este arquivo pode conter uma grande quantidade de informações. Recomenda-se usar less ou grep para uma conversa em questão.
• http_info.txt - Dados estatísticos sobre conversas HTTP
• hostnamesResolved.txt (opcional) - Nomes de host resolvidos observados no pcap. <> Isso pode resultar em consultas DNS para infraestrutura do atacante. Proceda com cautela!!
• SMBstatistics.txt - Estatísticas sobre comandos executados usando smb ou smb2
• dnsARecords.txt - Consultas/respostas DNS A
• dnsTXTRecords.txt - Consultas/respostas DNS TXT
• errors.txt - arquivo de lixo

• httpHashToObject.txt - Arquivo de texto contendo emparelhamento de hash md5 para objeto para referência
• httpVTResults.txt - Arquivo de texto contendo resultados da consulta de hash md5 de objetos http via API do VirusTotal
• smbHashToObject.txt - Arquivo de texto contendo emparelhamento de hash md5 para objeto para referência
• smbVTResults.txt - Arquivo de texto contendo resultados da consulta de hash md5 de objetos smb via API do VirusTotal

• IPLookupResults.txt - Arquivo de texto contendo resultados de Geolocalização IP + reputação IP

• httpObjects.tar.gz - Objetos HTTP observados no pcap. <> Pode haver muitos objetos HTTP e você pode potencialmente extrair objetos http maliciosos dependendo do pcap. Use com cautela!!
• smbObjects.tar.gz - Objetos SMB observados no pcap. Pode haver muitos objetos SMB e você pode potencialmente extrair objetos SMB maliciosos dependendo do pcap. Use com cautela!!

Integração VirusTotal

O PacketSifter agora pode realizar consultas de hash via API do VirusTotal em objetos exportados encontrados via SMB/HTTP.

Passos para configurar o PacketSifter com integração VirusTotal:

1. Certifique-se de ter o jq (https://stedolan.github.io/jq/download/) instalado.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Certifique-se de ter o curl instalado.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Integração AbuseIPDB

O PacketSifter pode realizar consultas de Geolocalização IP + reputação IP de endereços IP retornados em Registros DNS A.

Passos para configurar o PacketSifter com integração AbuseIPDB:

1. Certifique-se de ter o jq (https://stedolan.github.io/jq/download/) instalado.
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Certifique-se de ter o curl instalado.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Sugestões?

Entre em contato se tiver sugestões sobre o que mais gostaria que fosse peneirado ou o que mais poderia ser útil para a ferramenta.