redsiege/just-metadataJust-Metadata é uma ferramenta que coleta e analisa metadados sobre endereços IP. Ela tenta encontrar relações entre sistemas dentro de um grande conjunto de dados.
Just-Metadata é uma ferramenta que pode ser usada para coletar informações de inteligência de forma passiva sobre um grande número de endereços IP e tentar extrapolar relações que de outra forma não seriam vistas. Just-Metadata possui módulos "gather" que são usados para coletar metadados sobre IPs carregados no framework através de múltiplos recursos na internet. Just-Metadata também possui módulos "analysis". Estes são usados para analisar os dados carregados no Just-Metadata e realizar várias operações que podem identificar potenciais relações entre os sistemas carregados.
Just-Metadata permitirá que você encontre rapidamente os Top "X" estados, cidades, fusos horários, etc., onde os endereços IP carregados estão localizados. Ele permitirá que você pesquise endereços IP por país. Você pode pesquisar todos os IPs para descobrir quais são usados em callbacks identificados pelo VirusTotal. Quer ver se algum IP carregado foi documentado como participante de ataques via Animus Project? Just-Metadata pode fazer isso.
Além disso, é fácil criar novos módulos de análise para permitir que as pessoas encontrem outras relações entre IPs carregados com base nos dados disponíveis. Novos módulos de coleta de inteligência podem ser facilmente adicionados da mesma forma!
Idealmente, você deve conseguir executar o script de configuração, e ele instalará tudo que você precisa.
Para o módulo de coleta de informações do Shodan, VOCÊ PRECISARÁ de uma chave de API do Shodan. Isso custa uns 9 dólares, vamos lá, vale a pena :).
Atualmente, o Just-Metadata foi projetado para ler um único arquivo de texto contendo IPs, cada um em sua própria linha. Crie este arquivo a partir de qualquer fonte (IPs de callback C2, logs de servidor web, etc.). Depois de ter este arquivo, inicie o Just-Metadata chamando-o:
./Just-Metadata.py
help - Uma vez dentro do framework, para ver uma listagem dos comandos disponíveis e uma descrição do que eles fazem, digite o comando "help".
load <filename> - O comando load recebe um parâmetro extra, o nome do arquivo do qual você (o usuário) deseja que o Just-Metadata carregue os endereços IP. Este comando abrirá e carregará todos os IPs contidos no arquivo para o framework.
Ex: load ipaddresses.txt
save - O comando save pode ser usado para salvar o estado de trabalho atual do Just-Metadata. Isso é útil em vários casos, como após coletar informações sobre IPs e querer salvar o estado em disco para poder trabalhar neles posteriormente. Basta digitar "save" para que o Just-Metadata salve o estado em disco e exiba o nome do arquivo do estado salvo.
import <statefile> - O comando import pode ser usado para carregar um estado previamente salvo do Just-Metadata no framework. Ele carregará todos os IPs que foram salvos e todas as informações coletadas sobre os endereços IP. Este comando requer um parâmetro extra, o nome do arquivo de estado que você deseja que o Just-Metadata carregue.
Ex: import goodfile.state
list <module type> - O comando list pode ser usado para listar os diferentes tipos de módulos carregados no Just-Metadata. Este comando recebe um parâmetro extra, "analysis" ou "gather". O Just-Metadata exibirá todos os módulos do tipo solicitado pelo usuário.
Ex: list analysis
Ex: list gather
gather <gather module name> - O comando gather instrui o Just-Metadata a executar o módulo especificado e coletar informações dessa fonte. Pode ser usado para coletar informações geográficas, VirusTotal, whois e muito mais. Tudo depende do módulo. Os dados coletados serão armazenados dentro do framework na memória e também podem ser salvos em disco com o comando "save".
Ex: gather geoinfo
Ex: gather virustotal
analyze <analysis module name> - O comando analyze instrui o Just-Metadata a executar um módulo de análise com os dados carregados no framework. Esses módulos podem ser usados para encontrar endereços IP que compartilham as mesmas chaves SSH ou certificados de chave pública SSL, ou cadeias de certificados. Eles também podem ser usados para encontrar endereços IP usados nos mesmos callbacks por executáveis maliciosos.
ip_info <IP Address> - Este comando é usado para despejar todas as informações sobre um endereço IP específico. Atualmente, é usado após a execução de módulos de análise. Por exemplo, após identificar endereços IP que compartilham as mesmas chaves SSH, posso despejar todas as informações sobre esses IPs. Vou ver se eles foram usados por malware, onde estão localizados, etc.
export - O comando export fará com que o Just-Metadata despeje todas as informações coletadas sobre todos os endereços IP atualmente carregados no framework em um arquivo CSV.
Agradecimentos a Justin Warner (@sixdub) por ajudar a fornecer feedback inicial, ideias de design e servir como uma caixa de ressonância durante o desenvolvimento!
