Analisando Indicadores de Rede de Ransomware

Visão Geral

Antes e durante a execução de ransomware, os adversários estabelecem canais de C2 (Comando e Controle), exfiltram dados e baixam chaves de criptografia. Esta habilidade analisa os logs conn.log do Zeek e dados NetFlow para detectar padrões de beaconing (callbacks em intervalos regulares), conexões com nós de saída TOR conhecidos, transferências de dados de saída grandes e atividades DNS suspeitas associadas a famílias de ransomware.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de indicadores de rede de ransomware.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Arquivos conn.log do Zeek ou exportações NetFlow em CSV/JSON.
• Python 3.8+ com a biblioteca padrão.
• Lista de nós de saída TOR (obtida do Tor Project ou feeds de inteligência de ameaças).
• Opcional: Lista de IOCs (Indicadores de Comprometimento) de C2 de ransomware conhecidos.

Passos

1. Analisar Logs de Conexão — Ingerir conn.log do Zeek (TSV) ou registros NetFlow em formato estruturado.
2. Detectar Padrões de Beaconing — Calcular estatísticas de intervalo de conexão (média, desvio padrão, coeficiente de variação) para identificar callbacks periódicos.
3. Verificar Conexões com Nós de Saída TOR — Cruzar IPs de destino contra a lista atual de nós de saída TOR.
4. Identificar Exfiltração de Dados — Sinalizar conexões com proporções de bytes de saída incomumente altas para IPs externos.
5. Analisar Padrões DNS — Detectar consultas de domínio semelhantes a DGA (Domain Generation Algorithms) e subdomínios de alta entropia.
6. Pontuar e Correlacionar — Aplicar pontuação de risco composta em todos os tipos de indicadores.
7. Gerar Relatório — Produzir relatório estruturado com linha do tempo e mapeamento MITRE ATT&CK.

Saída Esperada

• Relatório JSON com detecções de beaconing e estatísticas de intervalo.
• Alertas de conexão com nós de saída TOR.
• Análise de fluxo de exfiltração de dados.
• Pontuação de risco composta de ransomware com mapeamento MITRE (T1071, T1573, T1041).