Monitoramento de Sites de Paste para Credenciais

Visão Geral

Sites de paste (Pastebin, GitHub Gists, Ghostbin, Dpaste, Hastebin) são frequentemente usados como áreas de preparação para credenciais vazadas, dumps de banco de dados, chaves de API e dados sensíveis antes da distribuição mais ampla em fóruns da dark web e canais do Telegram. Monitorar esses sites fornece detecção precoce de violações, permitindo que as organizações respondam antes que os dados roubados sejam usados indevidamente. Esta habilidade abrange a construção de monitores automatizados de sites de paste usando a Pastebin Scraping API, alertas baseados em palavras-chave, correspondência de padrões de credenciais e integração com fluxos de trabalho de resposta a incidentes.

Quando Usar

• Ao realizar avaliações de segurança que envolvam o monitoramento de sites de paste para credenciais.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes de segurança ou atividades de auditoria agendadas.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Python 3.9+ com as bibliotecas requests, beautifulsoup4, regex, pymisp.
• Conta Pastebin PRO com acesso à Scraping API (US$ 49,95/mês para acesso programático).
• Token da API do GitHub para monitoramento de Gists.
• Listas de palavras-chave específicas para sua organização (domínios, nomes de projetos, termos internos).
• Elasticsearch ou banco de dados para armazenamento e busca de pastes.

Conceitos Chave

Cenário de Ameaças de Sites de Paste

Mais de 300.000 credenciais de usuários são postadas no Pastebin anualmente, com uma média de 1.000 pares de nome de usuário/senha por vazamento. Sites de paste servem a três propósitos primários de inteligência de ameaças: detecção precoce de violações (credenciais aparecem em sites de paste antes da dark web), perfil de atores de ameaças (atores usam sites de paste para configuração de C2, staging de dados, compartilhamento de ferramentas) e descoberta de malware (cargas úteis codificadas, arquivos de configuração, endereços de C2).

Abordagens de Monitoramento

O monitoramento ativo consulta APIs de sites de paste ou endpoints de scraping em intervalos regulares. A Pastebin Scraping API fornece acesso em tempo real a novos pastes públicos. Para o GitHub, a API de busca permite monitorar Gists e commits de repositórios em busca de segredos expostos. O monitoramento passivo usa serviços como IntelX, Dehashed ou Have I Been Pwned, que agregam dados de sites de paste.

Detecção de Padrões de Credenciais

O monitoramento eficaz usa padrões regex para combinações de e-mail:senha, chaves de API (AWS, Azure, GCP, Stripe, Twilio), strings de conexão de banco de dados, chaves privadas (SSH, PGP), tokens JWT e nomes de host/URLs internos. Palavras-chave específicas da organização (nomes de domínio, nomes de produtos, nomes de funcionários) reduzem falsos positivos.

Fluxo de Trabalho

Etapa 1: Monitor de Pastebin Scraping API

import requests
import re
import json
import time
from datetime import datetime

class PastebinMonitor:
    SCRAPING_URL = "https://scrape.pastebin.com/api_scraping.php"
    RAW_URL = "https://scrape.pastebin.com/api_scrape_item.php"

    def __init__(self, keywords, output_dir="paste_alerts"):
        self.keywords = [k.lower() for k in keywords]
        self.output_dir = output_dir
        self.seen_keys = set()
        self.credential_patterns = {
            "email_password": re.compile(
                r'[\w.+-]+@[\w-]+\.[\w.]+[\s:;|,]+[\S]{6,}', re.IGNORECASE),
            "aws_key": re.compile(
                r'AKIA[0-9A-Z]{16}'),
            "aws_secret": re.compile(
                r'[0-9a-zA-Z/+=]{40}'),
            "github_token": re.compile(
                r'ghp_[0-9a-zA-Z]{36}'),
            "slack_token": re.compile(
                r'xox[baprs]-[0-9a-zA-Z-]+'),
            "private_key": re.compile(
                r'-----BEGIN (?:RSA |EC |DSA )?PRIVATE KEY-----'),
            "jwt_token": re.compile(
                r'eyJ[A-Za-z0-9-_]+\.eyJ[A-Za-z0-9-_]+\.[A-Za-z0-9-_]+'),
            "connection_string": re.compile(
                r'(?:mongodb|postgres|mysql|redis)://[^\s]+'),
            "api_key_generic": re.compile(
                r'(?:api[_-]?key|apikey|access[_-]?token)[\s]*[=:]\s*["\']?[\w-]{20,}',
                re.IGNORECASE),
        }

    def fetch_recent_pastes(self, limit=100):
        """Busca pastes públicos recentes da Pastebin Scraping API."""
        params = {"limit": limit}
        try:
            resp = requests.get(self.SCRAPING_URL, params=params, timeout=30)
            if resp.status_code == 200:
                pastes = resp.json()
                print(f"[+] Buscou {len(pastes)} pastes recentes")
                return pastes
            else:
                print(f"[-] Erro na API: {resp.status_code}")

…