跳到正文

家族团伙研判信息查询

接口说明

该接口用于查询指定威胁家族 / 攻击团伙的完整详情信息。传入家族团伙的名称,接口返回该威胁家族或攻击团伙的基础资料,包含团伙别名、威胁标签、攻击行为描述、活动时间、归属分类、关联的其他团伙、关联样本线索等情报内容。用于威胁研判,查看某一个 APT 组织、恶意病毒家族的背景与相关线索。

请求地址

https://api.ti.360.net/v2/family_campaign/?type=family&value={value}

请求方法

GET

请求参数

参数名类型位置说明
typestringquery查询对象的可选类型:family、campaign,这里固定为family
valuestringquery查询家族名称

备注:如果url中存在空格、中文等特殊字符,需要urlencode处理

响应参数

当 type类型为family时:字段说明见下表

一级字段二级字段三级字段四级字段类型可选值说明
errnoint状态码(详见状态码说明表)
msgstring结果说明
resultobject查询结果
360object360源家族查询结果
keystring查询对象值
hitbooleanTrue/False是否命中了家族信息,如果返回False,表示未查到家族信息,info中返回的值都为默认空值,其中malicious_type和targeted返回unknown
infoobject家族详细信息
aliasarray家族别名
attack_impactstring攻击影响
c2_functionstring远控功能
communication_waysarray传播方式
descriptionstring威胁简介
featuresarray技术特点
malicious_typestring恶意类型
sub_malicious_typesarray恶意辅助类型
namestring家族名称
platformsarray影响平台
referencestring参考链接
response_proposalstring处置建议
targetedbooleanTrue/False是否定向攻击,查询不到返回"unknown"

当 type类型为campaign时:字段说明见下表

一级字段二级字段三级字段四级字段类型可选值说明
errnoint状态码(详见状态码说明表)
msgstring结果说明
resultobject查询结果
360object360源团伙查询结果
keystring查询对象值
hitbooleanTrue/False是否命中了团伙信息,如果返回False,表示未查到团伙信息,info中返回的值都为默认空值,其中malicious_type返回unknown
infoobject家族详细信息
aliasarray团伙别名
affect_regionstring影响区域
attack_industrystring影响行业
attack_motivestring攻击动机
background_regionstring团伙背景
descriptionarray威胁简介
malicious_typestring恶意类型
first_seenstring最早活动时间
namearray团伙名称
referencestring参考链接

请求示例

支持cUrl、Python、Java、PHP、Go语言的请求,示例如下

#!/usr/bin/env bash
set -euo pipefail

API_KEY=""  # apikey
SALT=""  # salt
TYPE="family"
VALUE="Ripprbot"

TIMESTAMP=$(date +%s)
SIGN=$(printf '%s' "${TYPE}${TIMESTAMP}${SALT}" | openssl dgst -md5 -hex | awk '{print $NF}')

curl --location --request GET "https://api.ti.360.net/v2/family_campaign/?type=${TYPE}&value=${VALUE}" \
  --header "X-Api-Key: ${API_KEY}" \
  --header "timestamp: ${TIMESTAMP}" \
  --header "sign: ${SIGN}"

响应示例

{
  "errno": 2000,
  "msg": "查询成功",
  "result": {
    "360": {
      "key": "Ripprbot",
      "hit": true,
      "info": {
        "name": "Ripprbot",
        "alias": [
          "Rippr",
          "Ripprbot.436",
          "Ripprbot.tor",
          "Ripprbot.xor",
          "rippr",
          "ripprbot",
          "Ripprbot",
          "Ripprbot.c",
          "Ripprbot.randxor"
        ],
        "attack_impact": [],
        "c2_function": "",
        "communication_ways": [],
        "description": "Rippr是一个网络犯罪组织,至少已经活跃了18个月,该组织的名字源于其长期运营的僵尸网络ripprbot,Rippr在2022年4月28日对北京健康宝发起DDoS攻击。Rippr属于Fbot团伙,支持Tor C2,主要功能为DDoS攻击。",
        "features": [],
        "malicious_type": "僵尸网络",
        "platforms": [
          "linux"
        ],
        "reference": "",
        "response_proposal": "1. 阻断对恶意IOC的访问n2. 排查IOC请求来源n3. 清理IOC相关环境及可能的恶意程序、脚本",
        "sub_malicious_types": [],
        "targeted": false
      }
    }
  }
}