tempolocus؛ از الگوی فعالیتِ زمانی، مکان رو حدس میزنه
پایتونخلاصهٔ کاملتر
طبق مستندات پروژه، tempolocus یه ابزار متنبازه که به الگوهای زمانیِ فعالیت نگاه میکنه تا مکان رو استنتاج کنه. ایدهٔ اصلی سادهست: آدمها و سیستمها در ساعتهای خاصی فعالترن و در ساعتهای دیگه خاموش، و همین الگوی خاموشی و فعالیت میتونه منطقهٔ زمانیِ محتمل رو لو بده. این ابزار بیشتر به درد تحلیل OSINT و اطلاعات تهدید میخوره.
ابزار سه شکل ورودی رو قبول میکنه. اول سطلهای ساعتیِ هفتگی: لیستی از آبجکتها با روز، ساعت و تعداد. دوم سطلهای روزانهٔ سالانه: یه آبجکت با سال و یه لیست از جفتهای [تاریخ، تعداد]. و سوم لیستهای تایماستمپ، چه بهصورت رشتههای زمانیِ UTC یا ثانیههای Unix epoch، چه یه فایل متنی با یه تایماستمپ در هر خط. نویسنده اشاره میکنه که همین حالتِ سوم مخصوصاً برای مقادیر TimeDateStampِ فایلهای PE و زمانهای کامپایل مفیده، که تو تحلیل بدافزار به کار میان.
خروجی یه JSON احتماله. برای ورودیهای هفتگی، ابزار آفستهای منطقهٔ زمانی، نمونهای از زونهای IANA و یه لیست از کشورهای محتمل رو رتبهبندی میکنه؛ کشورهایی که چند منطقهٔ زمانیشون تو نتایج بالا ظاهر میشن برجسته میشن. برای ورودیهای سالانه، مناطق کلی با مقایسهٔ فعالیت روی تقویمهای تعطیلات رسمی رتبهبندی میشن. یه دستهٔ زیادی از کشورها و مناطق پشتیبانی میشن، از آفریقا و آسیا-اقیانوسیه تا اروپا، آمریکا، خاورمیانه و آمریکای جنوبی.
تحلیل سالانه دو تا حالت داره. بهطور پیشفرض «نبود فعالیت» روی تعطیلات رو سیگنال میگیره، ولی میشه با یه گزینه، فعالیتِ غیرعادیزیاد روی تعطیلات رو بهعنوان نشونه انتخاب کرد. یه پروفایل «public-worker» هم هست که مرجعهای تعطیلیِ بخش دولتی رو، مثل روزهای تعطیل کارمندان دولت یا روزهای پل و تعطیلیِ اداری، به تحلیل اضافه میکنه؛ این پروفایل مرجعهای اضافهای برای الگوهای تعطیلی بخش دولتی چین و روسیه هم داره.
نویسنده روی محدودیتها صادقه. تحلیلِ فعالیت، ساعتهای کاری رو با ساعتهای آخرهفته/غیرکاری مقایسه میکنه، ولی این فقط یه برچسبِ گستردهٔ heuristicه، نه اعلامِ اینکه چرا فعالیت اتفاق افتاده. علاوه بر این، دادهٔ هفتگی بدون تاریخ نمیتونه یه زون IANA رو بهطور یکتا مشخص کنه و دادهٔ سالانه به معنیِ شمارندهٔ فعالیت حساسه. بهعبارت دیگه این یه پاسِ اول و احتماله، نه یه پاسخ قطعی. tempolocus رو میشه هم از خط فرمان اجرا کرد و هم بهعنوان کتابخانهٔ پایتون ازش استفاده کرد، و تحت مجوز AGPLv3 منتشر شده.
نکات کلیدی:
- tempolocus از الگوی زمانیِ فعالیت، منطقهٔ زمانی و کشورهای محتمل رو تخمین میزنه
- سه نوع ورودی: سطلهای ساعتیِ هفتگی، سطلهای روزانهٔ سالانه و لیست تایماستمپها (مثل TimeDateStamp فایلهای PE)
- خروجی JSON احتمالاتیه که آفستها و کشورها رو رتبهبندی میکنه
- تحلیل سالانه از تقویم تعطیلات استفاده میکنه و پروفایل بخش دولتی هم داره
- سازنده تأکید میکنه این یه heuristic احتماله، نه قطعیت؛ دادهٔ هفتگی بدون تاریخ زون یکتا نمیده
