t4d/phishingkithunterEncontre kits de phishing que usam os arquivos e imagens da sua marca/organização.
Encontre kits de phishing que usem arquivos e imagens de sua marca/organização.
PhishingKitHunter (ou PKHunter) é uma ferramenta feita para identificar URLs de kits de phishing usados em campanhas de phishing que visam seus clientes e que usam alguns de seus próprios arquivos de site (como CSS, JS, ...). Esta ferramenta - escrita em Python 3 - é baseada na análise da URL de referência que GET arquivos específicos no site legítimo (como algum conteúdo de estilo) ou redireciona o usuário após a sessão de phishing. Os arquivos de log (devem) conter a URL de referência de onde o usuário veio e onde o kit de phishing está implantado. PhishingKitHunter analisa seus arquivos de log para identificar referenciadores particulares e não legítimos que tentam obter páginas legítimas com base em expressões regulares que você coloca no arquivo de configuração do PhishingKitHunter.
$ ./PhishingKitHunter.py -i LogFile2017.log -o PKHunter-report-20170502-013307.csv -c conf/test.conf
_ \ | / | | |
| | ' / | | | | __ \ __| _ \ __|
___/ . \ ___ | | | | | | __/ |
_| _|\_\_| _|\__,_|_| _|\__|\___|_|
-= Phishing Kit Hunter - v0.8.1 =-
[+] http://badscam.org/includes/ap/?a=2
| Timestamp: 01/May/2017:13:00:03
| HTTP status: can't connect (HTTP Error 404: Not Found)
[+] http://scamme.com/aple/985884e5b60732b1245fdfaf2a49cdfe/
| Timestamp: 01/May/2017:13:00:49
| HTTP status: can't connect (<urlopen error [Errno -2] Name or service not known>)
[+] http://badscam-er.com/eb/?e=4
| Timestamp: 01/May/2017:13:01:06
| HTTP status: can't connect (<urlopen error [Errno -2] Name or service not known>)
[+] http://assur.cam.tech/scam/brand/new/2bd5a55bc5e768e530d8bda80a9b8593/
| Timestamp: 01/May/2017:13:01:14
| HTTP status: UP
| HTTP shash : 0032588b8d93a807cf0f48a806ccf125677503a6fabe4105a6dc69e81ace6091
| DOMAIN registrar: ASCIO TECHNOLOGIES, INC. DANMARK - FILIAL AF ASCIO TECHNOLOGIES, INC. USA
| DOMAIN creation date: 2008-07-10 00:00:00
| DOMAIN expiration date: 2017-07-10 00:00:00
[+] http://phish-other.eu/assur/big/phish/2be1c6afdbfc065c410d36ba88e7e4c9/
| Timestamp: 01/May/2017:13:01:15
| HTTP status: UP
| HTTP shash : 2a545c4d321e3b3cbb34af62e6e6fbfbdbc00a400bf70280cb00f4f6bb0eac44
| DOMAIN registrar: Hostmaster Strato Rechenzentrum
| DOMAIN creation date: None found
| DOMAIN expiration date: None found
697475it [06:41, 1208.14it/s]
$ ./PhishingKitHunter.py --help
_ \ | / | | |
| | ' / | | | | __ \ __| _ \ __|
___/ . \ ___ | | | | | | __/ |
_| _|\_\_| _|\__,_|_| _|\__|\___|_|
-= Phishing Kit Hunter - v0.8.1 =-
-h --help Prints this
-i --ifile Input logfile to analyse
-o --ofile Output CSV report file (default: ./PKHunter-report-'date'-'hour'.csv)
-c --config Configuration file to use (default: ./conf/defaults.conf)
$ cat ./PKHunter-report-20170502-013307.csv
PK_URL;Domain;HTTP_sha256;HTTP_status;date;domain registrar;domain creation date;domain creation date;domain expiration date
http://badscam.org/includes/ap/?a=2;badscam.org;;can't connect (HTTP Error 404: Not Found);01/May/2017:13:00:03;;;
http://assur.cam.tech/scam/brand/new/2bd5a55bc5e768e530d8bda80a9b8593/;assur.cam.tech;0032588b8d93a807cf0f48a806ccf125677503a6fabe4105a6dc69e81ace6091;UP;01/May/2017:13:01:14;None found;None found;Hostmaster Strato Rechenzentrum
[...]
Instale os requisitos
pip3 install -r requirements.txt
Por favor, leia o arquivo conf/default.conf para aprender como configurar o PhishingKitHunter.
Você pode usar o Dockerfile para criar um contêiner Docker que automaticamente clona este repositório. Isso é baseado na distribuição Phusion mais leve, obtém os pacotes necessários para obter e executar PhishingKitHunter.
Construa o contêiner:
$ docker build tad/pkhunter .
Inicie o contêiner com algumas opções (como seu repositório local de arquivos de log):
$ docker run -d -P --name PKHunter --volume /var/log:/opt/logfiles tad/pkhunter
Agora você pode executar o shell e iniciar sua análise:
$ docker exec -ti tad/pkhunter /bin/bash