mcpField
A
analyzing-ransomware-payment-wallets

analyzing-ransomware-payment-wallets

github.com/mukul975安全35.2k257 次安装8 周前更新
代码仓库

关于 analyzing-ransomware-payment-wallets

供事件响应人员、执法机构和威胁情报分析师使用的勒索软件付款钱包分析技能。它指导通过公开区块链数据追踪资金流、关联地址簇并整理归因报告，分析过程为被动只读。

主要功能

  1. 01从勒索说明中提取钱包地址
  2. 02查询区块链交易历史
  3. 03追踪资金流与地址簇
  4. 04交叉核对已知钱包数据库
  5. 05生成归因分析报告
  6. 06核验地址与关联证据

适用场景

  1. 01调查勒索软件付款去向
  2. 02关联不同事件中的钱包基础设施
  3. 03为执法或合规整理资金流证据

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-ransomware-payment-wallets

安装后在 Claude Code 中输入/analyzing-ransomware-payment-wallets确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析勒索软件付款钱包

适用场景

  • 某组织遭到勒索软件攻击，且勒索信中包含需要调查的 Bitcoin 或加密货币钱包地址
  • 执法部门或事件响应人员需要追踪受害者在支付赎金后资金流向何处
  • 威胁情报分析师正在通过跨事件聚类支付基础设施，对勒索软件活动进行归因
  • 调查人员需要判断某个勒索软件组织是否在多个受害者之间重复使用钱包基础设施
  • 合规或法务团队需要资金流向证据，用于起诉、制裁执行或保险理赔

请勿使用此技能进行实时付款拦截，或直接与勒索软件运营者交互。所有分析都应针对公开区块链数据被动进行，并且仅限只读。

前提条件

  • Python 3.8+，并安装 requests、json 和 hashlib 库
  • 可访问区块链浏览器 API（blockchain.com、WalletExplorer.com、Blockstream.info）
  • 熟悉 Bitcoin 交易模型（UTXO、输入、输出、找零地址）
  • 理解常见混淆技术（混币器、滚筒、剥离链、跨链兑换）
  • 可选：Chainalysis Reactor 许可证，用于企业级聚类分析
  • 可选：OXT.me，用于高级交易图可视化

工作流

步骤 1：从勒索信中提取钱包地址

解析勒索信，以识别付款地址：

Common address formats:
  Bitcoin (P2PKH):   1A1zP1eP5QGefi2DMPTfTL5SLmv7DivfNa  (starts with 1)
  Bitcoin (P2SH):    3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy  (starts with 3)
  Bitcoin (Bech32):  bc1qar0srrr7xfkvy5l643lydnw9re59gtzzwf5mdq (starts with bc1)
  Monero:            4... (95 characters, much harder to trace)
  Ethereum:          0x... (40 hex chars)
步骤 2：查询区块链浏览器获取交易历史

检索与该钱包相关的所有交易：

import requests

def get_wallet_transactions(address):
    """Query blockchain.com API for address transactions."""
    url = f"https://blockchain.info/rawaddr/{address}"
    resp = requests.get(url, timeout=30)
    resp.raise_for_status()
    data = resp.json()
    return {
        "address": address,
        "n_tx": data.get("n_tx", 0),
        "total_received_satoshi": data.get("total_received", 0),
        "total_sent_satoshi": data.get("total_sent", 0),
        "final_balance_satoshi": data.get("final_balance", 0),
        "transactions": data.get("txs", []),
    }
步骤 3：映射资金流向并识别聚类

追踪从赎金钱包到下游地址的输出：

Fund Flow Analysis:
━━━━━━━━━━━━━━━━━━
Victim Payment ──► Ransom Wallet ──► Consolidation Wallet
                                  ├─► Mixer/Tumbler Service
                                  ├─► Exchange Deposit Address
                                  └─► Peel Chain (sequential small outputs)

Key indicators:
  - Consolidation: Multiple ransom payments aggregated into one wallet
  - Peel chains: Sequential transactions with diminishing outputs
  - Mixer usage: Funds sent to known mixer addresses (Wasabi, Samourai, ChipMixer)
  - Exchange cashout: Deposits to known exchange wallets (Binance, Kraken hot wallets)
步骤 4：与已知钱包数据库交叉比对

对照已知勒索软件基础设施检查地址：

# Check WalletExplorer for entity identification
def check_wallet_explorer(address):
    url = f"https://www.walletexplorer.com/api/1/address?address={address}&caller=research"
    resp = requests.get(url, timeout=30)
    data = resp.json()
    return {
        "wallet_id": data.get("wallet_id"),
        "label": data.get("label", "Unknown"),
        "is_exchange": data.get("is_exchange", False),
    }
步骤 5：生成归因报告

将调查结果整理为结构化情报报告：

RANSOMWARE WALLET ANALYSIS REPORT
====================================
Ransom Address:      bc1q...xyz
Family Attribution:  LockBit 3.0 (based on ransom note format)
Total Received:      4.25 BTC ($178,500 at time of payment)
Total Sent:          4.25 BTC (wallet fully drained)
Number of Payments:  3 (likely 3 separate victims)

FUND FLOW:
  Payment 1: 1.5 BTC → Consolidation wallet → Binance deposit
  Payment 2: 1.0 BTC → Wasabi Mixer → Unknown
  Payment 3: 1.75 BTC → Peel chain (12 hops) → OKX deposit

CLUSTER ANALYSIS:
  Related wallets: 47 addresses identified in same cluster
  Total cluster volume: 156.3 BTC ($6.5M USD)
  First activity: 2024-01-15
  Last activity: 2024-09-22

验证

  • 在查询 API 之前，确认钱包地址格式有效
  • 将交易时间戳与已知事件时间线交叉比对
  • 通过检查共同输入所有权启发式规则，验证聚类关联
  • 将调查结果与 OFAC SDN 名单中的受制裁地址进行比较
  • 对照多个来源验证交易所归因（WalletExplorer、OXT、Chainalysis）

关键概念

术语定义
UTXO未花费交易输出；Bitcoin 的基本单位，通过交易链跟踪所有权
聚类分析使用共同输入所有权和找零地址启发式规则，将被认为由同一实体控制的多个 Bitcoin 地址分组
剥离链一种洗钱模式，资金经过许多连续交易发送，每笔都会剥离一小部分到新地址
CoinJoin/混币器将多个用户的交易合并在一起的隐私技术，用于模糊发送方与接收方之间的联系
共同输入所有权一种启发式规则，假设单笔交易的所有输入均由同一实体控制

工具与系统

  • Chainalysis Reactor：企业级区块链调查平台，具备实体归因和跨链追踪能力
  • WalletExplorer：免费工具，可对 Bitcoin 地址进行聚类，并标记已知服务（交易所、混币器、市场）
  • OXT.me：高级 Bitcoin 交易可视化工具，支持 UTXO 图分析
  • Blockstream.info：开源 Bitcoin 区块浏览器，提供完整 API 访问
  • blockchain.com API：用于查询 Bitcoin 地址余额和交易历史的免费 API
  • OFAC SDN 名单：美国财政部受制裁地址名单，用于合规检查

评论

支持 Markdown