Analisando Indicadores de Rede de Ransomware
Visão Geral
Antes e durante a execução do ransomware, adversários estabelecem canais C2, exfiltram dados e baixam chaves de criptografia. Esta skill analisa dados do Zeek conn.log e NetFlow para detectar padrões de beaconing (callbacks em intervalos regulares), conexões a nós de saída TOR conhecidos, grandes transferências de dados de saída e atividade DNS suspeita associada a famílias de ransomware.
Quando Usar
- Ao investigar incidentes de segurança que exigem análise de indicadores de rede de ransomware
- Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
- Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
- Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas
Pré-requisitos
- Arquivos Zeek conn.log ou exportações NetFlow CSV/JSON
- Python 3.8+ com biblioteca padrão
- Lista de nós de saída TOR (obtida do Tor Project ou feeds de inteligência de ameaças)
- Opcional: Lista de IOCs de C2 de ransomware conhecidos
Etapas
- Analisar Logs de Conexão — Ingerir Zeek conn.log (TSV) ou registros NetFlow em formato estruturado
- Detectar Padrões de Beaconing — Calcular estatísticas de intervalo de conexão (média, desvio padrão, coeficiente de variação) para identificar callbacks periódicos
- Verificar Conexões a Nós de Saída TOR — Cruzar IPs de destino com a lista atual de nós de saída TOR
- Identificar Exfiltração de Dados — Sinalizar conexões com proporções anormalmente altas de bytes de saída para IPs externos
- Analisar Padrões DNS — Detectar consultas de domínio semelhantes a DGA e subdomínios de alta entropia
- Pontuar e Correlacionar — Aplicar pontuação de risco composta em todos os tipos de indicadores
- Gerar Relatório — Produzir relatório estruturado com linha do tempo e mapeamento MITRE ATT&CK
Saída Esperada
- Relatório JSON com detecções de beaconing e estatísticas de intervalo
- Alertas de conexão a nós de saída TOR
- Análise de fluxos de exfiltração de dados
- Pontuação de risco composta de ransomware com mapeamento MITRE (T1071, T1573, T1041)