packetsifterTool

PacketSifter — это инструмент/скрипт, предназначенный для помощи аналитикам в фильтрации захвата пакетов (pcap) для поиска значимого трафика. PacketSifter принимает pcap в качестве аргумента и создает несколько файлов.

ОПЦИИ:

• -a   включить проверку IP-адресов из DNS A-записей через AbuseIPDB
• -h   вывод справки
• -i   входной файл [обязательно]
• -r   разрешать имена хостов в pcap (может привести к DNS-запросам к инфраструктуре атакующего)
• -v   включить проверку экспортированных SMB/HTTP объектов через VirusTotal

Требования

tshark - https://tshark.dev/setup/install/

Выходные данные

В настоящее время PacketSifter создаёт следующие pcap-файлы:

• http.pcap — все сеансы, содержащие порты 80, 8080 или 8000
• smb.pcap — все сеансы, классифицированные диссекторами tshark как NBSS, SMB или SMB2
• dns.pcap — все сеансы, классифицированные диссекторами tshark как DNS
• ftp.pcap — все сеансы, классифицированные диссекторами tshark как FTP

• IOstatistics.txt — иерархия протоколов и вход/выход с разбивкой по 30-секундным интервалам (полезно для поиска потенциального биконинга)
• IPstatistics.txt — общая статистика по конечным точкам по IP и отдельным сеансам по IP
• TCPstatistics — общая статистика по конечным точкам по TCP и отдельным TCP-сеансам с детализацией. <<Предупреждение>> Этот файл может содержать большой объём информации. Рекомендуется использовать less или grep для поиска нужного сеанса.
• http_info.txt — статистические данные по HTTP-сеансам
• hostnamesResolved.txt (опционально) — разрешённые имена хостов, обнаруженные в pcap. <<Предупреждение>> Это может привести к DNS-запросам к инфраструктуре атакующего. Действуйте с осторожностью!
• SMBstatistics.txt — статистика выполненных команд с использованием SMB или SMB2
• dnsARecords.txt — DNS-запросы/ответы типа A
• dnsTXTRecords.txt — DNS-запросы/ответы типа TXT
• errors.txt — мусорный файл

• httpHashToObject.txt — текстовый файл с сопоставлением md5-хэша и объекта для справки
• httpVTResults.txt — текстовый файл с результатами проверки md5-хэша HTTP-объектов через API VirusTotal
• smbHashToObject.txt — текстовый файл с сопоставлением md5-хэша и объекта для справки
• smbVTResults.txt — текстовый файл с результатами проверки md5-хэша SMB-объектов через API VirusTotal

• IPLookupResults.txt — текстовый файл с результатами IP-геолокации и репутации IP

• httpObjects.tar.gz — HTTP-объекты, обнаруженные в pcap. <<Предупреждение>> Их может быть много, и в зависимости от pcap вы можете извлечь вредоносные HTTP-объекты. Используйте с осторожностью!
• smbObjects.tar.gz — SMB-объекты, обнаруженные в pcap. Их может быть много, и в зависимости от pcap вы можете извлечь вредоносные SMB-объекты. Используйте с осторожностью!

Интеграция с VirusTotal

PacketSifter теперь может выполнять проверку хэшей через API VirusTotal для экспортированных объектов, найденных через SMB/HTTP.

Шаги для настройки PacketSifter с интеграцией VirusTotal:

1. Убедитесь, что у вас установлен jq (https://stedolan.github.io/jq/download/).
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Убедитесь, что у вас установлен curl.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Интеграция с AbuseIPDB

PacketSifter может выполнять IP-геолокацию и проверку репутации IP-адресов, возвращённых в DNS A-записях.

Шаги для настройки PacketSifter с интеграцией AbuseIPDB:

1. Убедитесь, что у вас установлен jq (https://stedolan.github.io/jq/download/).
   

   root@kitploit:~

    root@ubuntu:~# apt-get install jq
    
   

2. Убедитесь, что у вас установлен curl.
   

   root@kitploit:~

     root@ubuntu:~# apt-get install curl
   

Есть предложения?

Свяжитесь со мной, если у вас есть предложения о том, что ещё можно анализировать или что ещё может быть полезно для этого инструмента.