这篇文章给大家介绍ZoomEye中怎么获取IOC，内容非常详细，感兴趣的小伙伴们可以参考借鉴，希望对大家能有所帮助。最近日常使用ZoomEye搜索一些恶意IOC IP信息时，发现一个现在还在活跃的恶意IP：194.38.20.199 直接在ZoomEye里查询：194.38.20.199 -ip:194.38.20.199解释下：前面那IP当字符串全局匹配，后面的-ip:194.38.20.199的目的是排除掉本身这个IP开的端口服务的一些信息，结果如下图：得到129条结果，其中主要是redis及docker服务：这些都是这个团伙作案遗留下来的痕迹被ZoomEye捕获，从redis记录可以看出来是通过设置 master_host 的方式进行攻击的（参考 https://paper.seebug.org/975/ ），而docker服务通过docker api获取容器信息来看是设置了镜像Command命令实现命令执行：访问确定目前这个IP几服务还是存活状态！很多事情僵尸网络等的自动化攻击都会遗留下很多的攻击痕迹，而这些痕迹可以被网络空间搜索引擎探测捕捉到，比如 https://paper.seebug.org/595/ 再比如 前不久360netlab抓到的一个新的Matryosh僵尸网络通过攻击adb服务进行传播，国外的研究者就发现通过ZoomEye可以捕捉到有意思信息 https://twitter.com/r3dbU7z/status/1356802656493264896我们回到这个主题案例，在这些被入侵的docker api服务里我们可以通过ZoomEye搜索 wget 或 curl 或 apt-get这些痕迹来确免费云主机域名定被入侵目标及其他黑客团伙或IOC信息，我们以wget为例子 搜索语法如下：到目前搜索到71 条结果（注意这个结果可能随时变化这个是因为ZoomEye采用覆盖更新的方式，比如被入侵后恢复正常服务就会被替换）搜索其他团伙或者IOC语法如下：排除包含有194.38.20.199的目标，得到19条结果。随便找一个：找到一个新的34.66.229.152[目前也处于存活状态] 开源威胁情报显示这个是Tsunami的DDOS团伙，我们继续语法：得到2条目标，看下banner里的Command信息得到2个恶意IP 45.137.155.55[目前也处于存活状态] 及 209.141.40.190[目前也处于存活状态]从这个命令格式及d.sh的来看跟 194.38.20.199的很类似，姑且可以归于Kinsing。看起来又是一个挖矿相关的，所以到目前为止我们通过在Docker API信息里搜索wget最终找到了如下几个恶意IOC：194.38.20.199/45.137.155.55 Kinsing/挖矿34.66.229.152 Tsunami/DDOS209.141.40.190 未知/挖矿当然你还可以通过分析哪些sh脚本提取跟多的IOC IP地址进行关联，这里与主题关系不大就不继续了。关于ZoomEye中怎么获取IOC就分享到这里了，希望以上内容可以对大家有一定的帮助，可以学到更多知识。如果觉得文章不错，可以把它分享出去让更多的人看到。
今天小编给大家分享一下linux中mapper的概念是什么的相关知识点，内容详细，逻辑清晰，相信大部分人都还太了解这方面的知识，所以分享这篇文章给大家参考一下，希望大家阅读完这篇文章后有所收获，下面我们一起来了解一下吧。 linux中，mapper全称“Dev…
免责声明：本站发布的图片视频文字，以转载和分享为主，文章观点不代表本站立场，本站不承担相关法律责任；如果涉及侵权请联系邮箱：360163164@qq.com举报，并提供相关证据，经查实将立刻删除涉嫌侵权内容。
微信扫一扫 
