Rastreamento de Infraestrutura de Atores de Ameaças

Visão Geral

O rastreamento de infraestrutura de atores de ameaças envolve o monitoramento e mapeamento de ativos controlados por adversários, incluindo servidores de comando e controle (C2), domínios de phishing, hosts de kits de exploração, hospedagem à prova de balas e servidores de staging. Essa habilidade abrange o uso de DNS passivo, logs de transparência de certificados, varreduras Shodan/Censys, análise WHOIS e impressão digital de rede para descobrir, rastrear e fazer pivô pela infraestrutura de atores de ameaças ao longo do tempo.

Quando Usar

• Ao gerenciar operações de segurança que exigem o rastreamento da infraestrutura de atores de ameaças
• Ao melhorar a maturidade do programa de segurança e os processos operacionais
• Ao estabelecer procedimentos padronizados para fluxos de trabalho da equipe de segurança
• Ao integrar inteligência de ameaças ou dados de vulnerabilidade nas operações

Pré-requisitos

• Python 3.9+ com shodan, censys, requests, stix2 bibliotecas
• Chaves de API: Shodan, Censys, VirusTotal, SecurityTrails, PassiveTotal
• Compreensão de DNS, certificados TLS/SSL, alocação de IP, estrutura ASN
• Familiaridade com conceitos de DNS passivo e transparência de certificados
• Acesso a serviços de consulta de registro de domínio (WHOIS)

Conceitos Chave

Pivô de Infraestrutura

Pivô é a técnica de usar um indicador conhecido para descobrir infraestrutura relacionada. Começando de um endereço IP C2 conhecido, os analistas podem fazer pivô através de: DNS passivo (encontrar domínios), WHOIS reverso (encontrar registros relacionados), certificados SSL (encontrar certificados compartilhados), impressões digitais de chave SSH, impressões digitais de resposta HTTP, hashes JARM/JA3S e dados do registrador WHOIS.

DNS Passivo

Bancos de dados de DNS passivo registram dados de consulta/resposta DNS observados em resolvedores recursivos. Isso permite que os analistas encontrem mapeamentos históricos de domínio para IP, descubram domínios hospedados em um IP C2 conhecido e identifiquem comportamento de fast-flux ou algoritmo de geração de domínio (DGA).

Transparência de Certificados

Logs de Transparência de Certificados (CT) registram publicamente todos os certificados SSL/TLS emitidos por CAs. O monitoramento de logs CT revela novos certificados registrados para domínios suspeitos, ajudando a identificar sites de phishing e infraestrutura C2 antes que se tornem ativos.

Impressão Digital de Rede

• JARM: Impressão digital ativa de servidor TLS (hash das respostas do handshake TLS)
• JA3S: Impressão digital passiva de servidor TLS (hash do Server Hello)
• Cabeçalhos HTTP: Banners do servidor, cabeçalhos personalizados, padrões de resposta
• Hash de Favicon: Hash do favicon HTTP para identificação do servidor

Fluxo de Trabalho

Etapa 1: Descoberta de Infraestrutura com Shodan

import shodan

api = shodan.Shodan("SUA_CHAVE_DE_API_SHODAN")

def discover_infrastructure(ip_address):
    """Descobre serviços e metadados para um IP de destino."""
    try:
        host = api.host(ip_address)
        return {
            "ip": host["ip_str"],
            "org": host.get("org", ""),
            "asn": host.get("asn", ""),
            "isp": host.get("isp", ""),
            "country": host.get("country_name", ""),
            "city": host.get("city", ""),
            "os": host.get("os"),
            "ports": host.get("ports", []),
            "vulns": host.get("vulns", []),
            "hostnames": host.get("hostnames", []),
            "domains": host.get("domains", []),
            "tags": host.get("tags", []),
            "services": [
                {
                    "port": svc.get("port"),
                    "transport": svc.get("transport"),
                    "product": svc.get("product", ""),
                    "version": svc.get("version", ""),
                    "ssl_cert": svc.get("ssl", {}).get("cert", {}).get("subject", {}),
                    "jarm": svc.get("ssl", {}).get("jarm", ""),
                }
                for svc in host.get("data", [])
            ],
        }
    except shodan.APIError as e:
        print(f"[-] Erro Shodan: {e}")
        return None

def search_c2_framework(framework_name):
    """Busca no Shodan por assinaturas conhecidas de frameworks C2."""
    c2_queries = {
        "cobalt-strike": 'product:"Cobalt Strike Beacon"',
        "metasploit": 'product:"Metasploit"',
        "covenant": 'http.html:"Covenant" http.title:"Covenant"',
        "sliver": 'ssl.cert.subject.cn:"multiplayer" ssl.cert.issuer.cn:"operators"',
        "havoc": 'http.html_hash:-1472705893',
    }

    query = c2_queries.get(framework_name.lower(), framework_name)
    results = api.search(query, limit=100)

    hosts = []
    for match in results.get("matches", []):
        hosts.append({
            "ip": match["ip_str"],

…