RansomWatch

RansomWatch — это инструмент для мониторинга сайтов утечек программ-вымогателей. Он собирает все записи на различных сайтах утечек, сохраняет данные в SQLite-базу и отправляет уведомления через Slack или Discord, когда появляется новая жертва или когда жертва удаляется.

Примечание: RansomWatch не обновляется активно для новейших сайтов и в основном полагается на сторонние вклады. Пожалуйста, откройте pull request и/или напишите мне в Twitter.

Конфигурация

В папке config_vol/ скопируйте config.sample.yaml в config.yaml и добавьте следующее:

• URL-адреса сайтов утечек. Я решил не публиковать этот список, чтобы не придавать им ещё большую известность, поэтому, если они у вас есть, добавьте их. Если нет, этот инструмент не для вас.
  • Чтобы получить onion-адрес Hive API, зайдите на их основной сайт, нажмите F12 для вызова инструментов разработчика. Найдите XHR-запросы, вы увидите несколько запросов к домену hiveapi... onion.
• Назначения уведомлений. В настоящее время RansomWatch поддерживает уведомления через:
  • Slack: следуйте этой инструкции, чтобы добавить новое приложение в рабочее пространство Slack, и добавьте URL вебхука в конфигурацию.
  • Discord: следуйте этой инструкции, чтобы добавить новое приложение на сервер Discord, и добавьте URL вебхука в конфигурацию.
  • Teams: следуйте этой инструкции, чтобы добавить новое приложение в канал Teams, и добавьте URL вебхука в конфигурацию.

Кроме того, вам может потребоваться установить несколько переменных окружения:

• RW_DB_PATH: путь к файлу SQLite-базы данных
• RW_CONFIG_PATH: путь к файлу config.yaml

Обе эти переменные заданы в предоставленном docker-compose.yml.

Использование

Этот инструмент предназначен для запуска в Docker через cronjob с любым выбранным вами интервалом.

Сначала соберите контейнер: docker-compose build app

Затем добавьте его в crontab. Пример записи crontab (выполнение каждые 8 часов):

0 */8 * * * cd /path/to/ransomwatch && docker-compose up --abort-on-container-exit

Если хотите, вы можете использовать образ, опубликованный на Docker Hub (captaingeech/ransomwatch), с docker-compose.yml, который выглядит примерно так:

version: "3"

services:
  app:
    image: captaingeech/ransomwatch:latest
    depends_on:
      - proxy
    volumes:
      - ./db_vol:/db
      - ./config_vol:/config
    environment:
      PYTHONUNBUFFERED: 1
      RW_DB_PATH: /db/ransomwatch.db
      RW_CONFIG_PATH: /config/config.yaml

  proxy:
    image: captaingeech/tor-proxy:latest

Также можно запустить через командную строку, но для этого потребуется собственный Tor-прокси (с сервисом управления). Пример выполнения:

$ RW_DB_PATH=./db_vol/ransomwatch.db RW_CONFIG_PATH=./config_vol/config.yaml python3 src/ransomwatch.py

Примеры сообщений Slack

Сообщения, отправляемые в Discord и Teams, очень похожи по стилю и идентичны по содержанию.

Реализации сайтов утечек

Поддерживаются следующие сайты утечек:

• Conti
• Sodinokibi/REvil
• Pysa
• Avaddon
• DarkSide
• CL0P
• Nefilim
• Mount Locker
• Suncrypt
• Everest
• Ragnarok
• Ragnar_Locker
• BABUK LOCKER
• Pay2Key
• Cuba
• RansomEXX
• Pay2Key
• Ranzy Locker

Если вы хотите добавить другие сайты утечек, смело открывайте pull request или пишите мне в Twitter: @captainGeech42