Coleta de Inteligência de Código Aberto

Quando Usar

Use esta habilidade quando:

• Investigar infraestrutura externa associada a uma campanha de phishing direcionada à sua organização
• Enriquecer perfis de atores de ameaças com indicadores publicamente observáveis (dados WHOIS, ASN, certificados SSL)
• Realizar descoberta autorizada de superfície de ataque para entender a exposição externa da sua organização

Não use esta habilidade para varreduras ativas contra alvos sem autorização explícita por escrito — a coleta de OSINT deve permanecer passiva (sem envio de pacotes para sistemas alvo) a menos que o escopo permita reconhecimento ativo.

Pré-requisitos

• Maltego CE ou licença comercial para análise de links baseada em grafos
• Chave de API do Shodan (https://shodan.io) para descoberta de dispositivos/serviços em toda a internet
• Familiaridade com o OSINT Framework (https://osintframework.com) para seleção de ferramentas
• SpiderFoot HX ou SpiderFoot de código aberto para correlação automatizada de OSINT

Fluxo de Trabalho

Etapa 1: Definir Requisitos de Coleta

Estabeleça o requisito de inteligência (IR) antes de coletar. Documente:

• Alvo: grupo de atores de ameaças, domínio malicioso, intervalo de IP ou organização
• Requisitos Prioritários de Inteligência (PIRs): Quais perguntas específicas precisam ser respondidas?
• Autoridade legal: OSINT passivo é legal; sondagem ativa requer autorização
• Manuseio de dados: Classificação TLP para a inteligência coletada

Etapa 2: Investigação de DNS Passivo e WHOIS

# Passive DNS via SecurityTrails API
curl "https://api.securitytrails.com/v1/domain/evil-domain.com/dns/a" \
  -H "apikey: YOUR_KEY"

# WHOIS history via ARIN / RIPE
whois -h whois.arin.net evil-domain.com

# Certificate transparency logs (no API key required)
curl "https://crt.sh/?q=%.evil-domain.com&output=json" | jq '.[].name_value'

Registros de transparência de certificados revelam todos os subdomínios de um domínio alvo, frequentemente expondo staging, VPN ou infraestrutura interna inadvertidamente tornada pública.

Etapa 3: Mapeamento de Infraestrutura com Shodan

import shodan

api = shodan.Shodan("YOUR_SHODAN_API_KEY")

# Search for specific C2 framework signatures (Cobalt Strike beacon)
results = api.search('product:"Cobalt Strike" port:443')
for r in results['matches']:
    print(r['ip_str'], r['port'], r['org'], r.get('ssl', {}).get('cert', {}).get('subject', ''))

# Find infrastructure associated with a known threat actor's ASN
results = api.search('asn:AS12345 http.title:"Redirector"')

Correlacione os resultados do Shodan com o DNS passivo para construir clusters de infraestrutura.

Etapa 4: Análise de Grafo no Maltego

No Maltego, use estas transformações integradas para mapeamento de infraestrutura de atores de ameaças:

1. Comece com um domínio malicioso conhecido (Entidade: Domínio)
2. Execute "To IP Address [DNS]" → identifica IPs de hospedagem
3. Execute "To Shared Hosting" → identifica domínios co-hospedados (potencialmente do mesmo ator de ameaças)
4. Execute "To DNS Name [Reverse DNS]" → identifica registros PTR
5. Execute "To Whois" → identifica e-mail/organização do registrador
6. Faça um pivô no e-mail do registrador → "To Domains [Registrant Email]" → expande para todos os domínios registrados com o mesmo e-mail

As transformações de inteligência cibernética do Maltego (VirusTotal, Shodan, PassiveTotal, URLScan) estendem a cobertura do grafo.

Etapa 5: Monitoramento da Dark Web e Sites de Paste

Use SpiderFoot HX ou pesquisas manuais para:

• Sites de paste (Pastebin, Ghostbin): pesquise por credenciais vazadas, IOCs, configurações de malware
• Fóruns da dark web: via navegador Tor com segurança operacional apropriada
• GitHub/GitLab: pesquise por credenciais expostas ou strings específicas da organização

# SpiderFoot CLI for automated OSINT
python sf.py -s evil-domain.com -m sfp_shodan,sfp_virustotal,sfp_passivetotal \
  -o TF -R result.json

Conceitos Chave

…