BerrySentinel

🫐 Berry Sentinel Detector conductual de conexiones C2 Command & Control en tiempo real Zero-signature · Bulletproof Collection · Deep Scan · Kill Engine ¿Qué es? Berry Sentinel monitorea todas las conexiones de red activas en tu sistema y analiza el comportamiento de los procesos que las generan...

bothan

bothan Confirma que una ip:port está alojando Empire. Soporte futuro para otros C2s. Uso root@kitploit: Direct single query ❯❯ bothan -v localhost:8080 DEBU2020-01-19T20:25:02-05:00 Requesting... host="localhost:8080" INFO2020-01-19T20:25:02-05:00 SUCCESS host="http://localhost:8080" tool=empire...

NetLlix

NetLlix 本项目旨在模拟和测试数据通过不同网络协议的渗透。模拟过程不使用原生API，这将帮助蓝队编写关联规则，以检测任何类型的C2通信或数据渗透。 目前，该项目可通过以下编程/脚本语言生成 HTTP/HTTPS 流量（包括 GET 和 POST）： CNet/WebClient：使用 CLang 开发，通过知名的 WIN32 API（WININET 和 WINHTTP）及原始套接字编程生成网络流量。 HashNet/WebClient：一个 C 二进制文件，使用 HttpClient、WebRequest 及原始套接字等 .NET 类生成网络流量。...

jarm

JARM 请阅读最初的 JARM 博客文章 了解更多信息。 JARM 是一个主动的传输层安全（TLS）服务器指纹识别工具。 JARM 指纹可用于： 快速验证一组服务器是否具有相同的 TLS 配置。 按配置对互联网上不同的服务器进行分组，例如识别出某个服务器属于 Google、Salesforce 还是 Apple。 识别默认应用程序或基础设施。 识别互联网上的恶意软件命令与控制基础设施及其他恶意服务器。 JARM 支持已被或正在被添加到： SecurityTrails Shodan BinaryEdge RiskIQ Palo Alto Networks Censys 360 运行 JA...

pingback

Detección de C2 Pingback Un paquete de Zeek y reglas de Suricata para la detección de túneles de ping ICMP creados por la herramienta C2 Pingback. Entrada de blog complementaria: https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/ Instalación La forma más sencilla de instalar este...

zeek-quasarrat-detector

Un detector de malware QuasarRAT basado en Zeek El malware a menudo oculta las comunicaciones con su servidor de comando y control C2 a través de HTTPS. El cifrado en HTTPS normalmente oculta el compromiso el tiempo suficiente para que el malware logre su objetivo. Esto hace que detectar malware...

beacon-hunter

Beacon Hunter Detección de C2 estructurado no periódico mediante recurrencia aditiva Beacon Hunter detecta beaconing de comando y control que utiliza una programación de recurrencia aditiva compatible con phi: un patrón temporal creciente y no periódico en el que cada intervalo entre conexiones e...

Fenrir

Fenrir Escáner Bash sencillo de IOC Fenrir es un script Bash sencillo de escaneo de IOC. Permite escanear sistemas Linux/Unix/OSX en busca de los siguientes Indicadores de Compromiso IOCs: Hashes MD5, SHA1 y SHA256 usando md5sum, sha1sum, sha -a 256 Nombres de archivo cadena - se verifica si es u...

Exchange_IOC_Hunter

ExchangeIOCHunter Descripción: Busca IOCs en registros de IIS - CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, CVE-2021-27065 Artefactos Compatibles: Direcciones IP de C2 utilizadas para escaneo y explotación Nombres de Archivo observados en intentos de explotación Ejecución Remota de Código RCE...

zeek-netsupport-detector

NetSupport Contexto https://unit42.paloaltonetworks.com/cortex-xdr-detects-netsupport-manager-rat-campaign/ PCAP de prueba: https://app.any.run/tasks/b5d9853f-0dca-45ef-9532-83feeedcbf42 Ejemplo: root@kitploit: $ zeek -Cr b5d9853f-0dca-45ef-9532-83feeedcbf42.pcap $ cat notice.log separator \x09...

zeek-asyncrat-detector

Un detector de malware AsyncRAT basado en Zeek El malware a menudo oculta las comunicaciones con su servidor de comando y control C2 a través de HTTPS. El cifrado en HTTPS normalmente oculta el compromiso el tiempo suficiente para que el malware logre su objetivo. Esto hace que la detección de...

RITA-J

RITA Real Intelligence Threat Analytics en Jupyter Notebook RITA es un framework de código abierto para el análisis de tráfico de red patrocinado por Active Countermeasures RITA-J es la implementación de las características de RITA en Jupyter Notebook. El objetivo es admitir todos los tipos de...

zeek-strrat-detector

Un detector de malware STRRAT basado en Zeek Este es un detector de malware STRRAT basado en Zeek Spicy. PCAP https://app.any.run/tasks/4423258f-59bc-4a88-bfec-d8ac08c88538/ Salida de ejemplo root@kitploit: % zeek -Cr strrat-4423258f-59bc-4a88-bfec-d8ac08c88538.pcap zeek-strrat-detector % cat...

zeek-agenttesla-detector

AgentTesla Este es un detector de malware AgentTesla basado en Zeek. PCAPs de prueba: https://app.any.run/tasks/f9421792-7d2c-47d3-90e0-07eb54ae12fa/ https://app.any.run/tasks/db9f075c-7879-4957-923a-f79fac957a2d/ https://app.any.run/tasks/a30789ce-1e1c-4f96-a097-78c34b9fb612/...

c2finder

c2finder Exención de responsabilidad obligatoria: No soy un maestro programador en absoluto, así que este es un script muy simple. No confíes en que sea perfecto. Sin embargo, estoy abierto a comentarios o ideas para mejoras : Descripción Este script descarga la lista maestra de C&C de Bambanek...

zeek-caldera-detector

zeek-caldera-detector zeek-caldera-detector es un paquete basado en Zeek para detectar balizas beacons de Caldera y descargas de agentes. Está diseñado para identificar actividades sospechosas asociadas con los frameworks C2 de Caldera, incluyendo Sandcat, Ragdoll y Manx. Este paquete proporciona...

redxor

C2 de malware Linux 'RedXOR': un ejemplo de detección Este paquete sirve como demostración de cómo se puede usar Zeek para detectar la puerta trasera de Linux "redXOR" mediante métodos basados en estado. Referencias: Blog de Corelight...

zeek-spicy-facefish

FacefishRootkit Este analizador Zeek+Spicy detectará el C2 del rootkit Linux Facefish como se describe en: https://blog.netlab.360.com/sshstealerfacefishen/ https://blogs.juniper.net/en-us/threat-research/linux-servers-hijacked-to-implant-ssh-backdoor...