M00NLIG7/ChopChopGo M00NLIG7/ChopChopGo

  • Stars
    star
    178
  • Rank 214,989 (Top 5 %)
  • Language
    Go
  • License
    GNU General Publi...
  • Created over 1 year ago
  • Updated 11 months ago
Twitter logo Share LinkedIn logo Share Facebook logo Share
M00NLIG7/ChopChopGo
github

M00NLIG7

Reviews

There are no reviews yet. Be the first to send feedback to the community and the maintainers!

Repository Details

Rapidly Search and Hunt through Linux Forensics Artifacts

go report card

Rapidly Search and Hunt through Linux Forensics Artifacts

ChopChopGo inspired by Chainsaw utilizes Sigma rules for forensics artifact recovery, enabling rapid and comprehensive analysis of logs and other artifacts to identify potential security incidents and threats on Linux.

Features

  • ๐ŸŽฏ Hunt for threats using Sigma detection rules and custom ChopChopGo detection rules
  • โšก Lightning fast, written in go
  • ๐Ÿชถ Clean and lightweight execution and output formats without unnecessary bloat
  • ๐Ÿ’ป Runs on Linux
$ ./ChopChopGo -target syslog -rules ./rules/linux/builtin/syslog/
  โ–„โ–ˆโ–ˆโ–ˆโ–ˆโ–„   โ–ˆโ–ˆโ–‘ โ–ˆโ–ˆ  โ–’โ–ˆโ–ˆโ–ˆโ–ˆโ–ˆ   โ–ˆโ–ˆโ–“โ–ˆโ–ˆโ–ˆ      โ–„โ–ˆโ–ˆโ–ˆโ–ˆโ–„   โ–ˆโ–ˆโ–‘ โ–ˆโ–ˆ  โ–’โ–ˆโ–ˆโ–ˆโ–ˆโ–ˆ   โ–ˆโ–ˆโ–“โ–ˆโ–ˆโ–ˆ       โ–„โ–ˆโ–ˆโ–ˆโ–ˆ  โ–’โ–ˆโ–ˆโ–ˆโ–ˆโ–ˆ
 โ–’โ–ˆโ–ˆโ–€ โ–€โ–ˆ  โ–“โ–ˆโ–ˆโ–‘ โ–ˆโ–ˆโ–’โ–’โ–ˆโ–ˆโ–’  โ–ˆโ–ˆโ–’โ–“โ–ˆโ–ˆโ–‘  โ–ˆโ–ˆโ–’   โ–’โ–ˆโ–ˆโ–€ โ–€โ–ˆ  โ–“โ–ˆโ–ˆโ–‘ โ–ˆโ–ˆโ–’โ–’โ–ˆโ–ˆโ–’  โ–ˆโ–ˆโ–’โ–“โ–ˆโ–ˆโ–‘  โ–ˆโ–ˆโ–’    โ–ˆโ–ˆโ–’ โ–€โ–ˆโ–’โ–’โ–ˆโ–ˆโ–’  โ–ˆโ–ˆโ–’
 โ–’โ–“โ–ˆ    โ–„ โ–’โ–ˆโ–ˆโ–€โ–€โ–ˆโ–ˆโ–‘โ–’โ–ˆโ–ˆโ–‘  โ–ˆโ–ˆโ–’โ–“โ–ˆโ–ˆโ–‘ โ–ˆโ–ˆโ–“โ–’   โ–’โ–“โ–ˆ    โ–„ โ–’โ–ˆโ–ˆโ–€โ–€โ–ˆโ–ˆโ–‘โ–’โ–ˆโ–ˆโ–‘  โ–ˆโ–ˆโ–’โ–“โ–ˆโ–ˆโ–‘ โ–ˆโ–ˆโ–“โ–’   โ–’โ–ˆโ–ˆโ–‘โ–„โ–„โ–„โ–‘โ–’โ–ˆโ–ˆโ–‘  โ–ˆโ–ˆโ–’
 โ–’โ–“โ–“โ–„ โ–„โ–ˆโ–ˆโ–’โ–‘โ–“โ–ˆ โ–‘โ–ˆโ–ˆ โ–’โ–ˆโ–ˆ   โ–ˆโ–ˆโ–‘โ–’โ–ˆโ–ˆโ–„โ–ˆโ–“โ–’ โ–’   โ–’โ–“โ–“โ–„ โ–„โ–ˆโ–ˆโ–’โ–‘โ–“โ–ˆ โ–‘โ–ˆโ–ˆ โ–’โ–ˆโ–ˆ   โ–ˆโ–ˆโ–‘โ–’โ–ˆโ–ˆโ–„โ–ˆโ–“โ–’ โ–’   โ–‘โ–“โ–ˆ  โ–ˆโ–ˆโ–“โ–’โ–ˆโ–ˆ   โ–ˆโ–ˆโ–‘
 โ–’ โ–“โ–ˆโ–ˆโ–ˆโ–€ โ–‘โ–‘โ–“โ–ˆโ–’โ–‘โ–ˆโ–ˆโ–“โ–‘ โ–ˆโ–ˆโ–ˆโ–ˆโ–“โ–’โ–‘โ–’โ–ˆโ–ˆโ–’ โ–‘  โ–‘   โ–’ โ–“โ–ˆโ–ˆโ–ˆโ–€ โ–‘โ–‘โ–“โ–ˆโ–’โ–‘โ–ˆโ–ˆโ–“โ–‘ โ–ˆโ–ˆโ–ˆโ–ˆโ–“โ–’โ–‘โ–’โ–ˆโ–ˆโ–’ โ–‘  โ–‘   โ–‘โ–’โ–“โ–ˆโ–ˆโ–ˆโ–€โ–’โ–‘ โ–ˆโ–ˆโ–ˆโ–ˆโ–“โ–’โ–‘
 โ–‘ โ–‘โ–’ โ–’  โ–‘ โ–’ โ–‘โ–‘โ–’โ–‘โ–’โ–‘ โ–’โ–‘โ–’โ–‘โ–’โ–‘ โ–’โ–“โ–’โ–‘ โ–‘  โ–‘   โ–‘ โ–‘โ–’ โ–’  โ–‘ โ–’ โ–‘โ–‘โ–’โ–‘โ–’โ–‘ โ–’โ–‘โ–’โ–‘โ–’โ–‘ โ–’โ–“โ–’โ–‘ โ–‘  โ–‘    โ–‘โ–’   โ–’ โ–‘ โ–’โ–‘โ–’โ–‘โ–’โ–‘
   โ–‘  โ–’    โ–’ โ–‘โ–’โ–‘ โ–‘  โ–‘ โ–’ โ–’โ–‘ โ–‘โ–’ โ–‘          โ–‘  โ–’    โ–’ โ–‘โ–’โ–‘ โ–‘  โ–‘ โ–’ โ–’โ–‘ โ–‘โ–’ โ–‘          โ–‘   โ–‘   โ–‘ โ–’ โ–’โ–‘
 โ–‘         โ–‘  โ–‘โ–‘ โ–‘โ–‘ โ–‘ โ–‘ โ–’  โ–‘โ–‘          โ–‘         โ–‘  โ–‘โ–‘ โ–‘โ–‘ โ–‘ โ–‘ โ–’  โ–‘โ–‘          โ–‘ โ–‘   โ–‘ โ–‘ โ–‘ โ–‘ โ–’
 โ–‘ โ–‘       โ–‘  โ–‘  โ–‘    โ–‘ โ–‘              โ–‘ โ–‘       โ–‘  โ–‘  โ–‘    โ–‘ โ–‘                    โ–‘     โ–‘ โ–‘
 โ–‘                                     โ–‘
			By Keyboard Cowboys (M00NL1G7)

Using syslog file: /var/log/messages
 100% |โ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆโ–ˆ| (67504/67504, 27840 it/s)
+-----------------+--------------------------------+-----------------------------------------+
|    TIMESTAMP    |            MESSAGE             |                  TAGS                   |
+-----------------+--------------------------------+-----------------------------------------+
| Mar  2 20:04:38 | fedora systemd[1]:             | attack.defense_evasion-attack.t1562.004 |
|                 | iptables.service: Deactivated  |                                         |
|                 | successfully.                  |                                         |
| Mar  4 10:19:03 | DESKTOP-RNL1DBO systemd[1]:    | attack.defense_evasion-attack.t1562.004 |
|                 | iptables.service: Deactivated  |                                         |
|                 | successfully.                  |                                         |
+-----------------+--------------------------------+-----------------------------------------+
Processed 67504 syslog events

Quick Start Guide

Downloading and Running

For an all-in-one zip container the ChopChopGo binary, and the official sigma rules to go with it, check out the releases section In this releases section you will also find pre-compiled binary-only versions of ChopChopGo.

If you want to compile ChopChopGo yourself, you can clone the ChopChopGo repo:

git clone https://github.com/M00NLIG7/ChopChopGo.git

and compile the code yourself by running: go build.

Command Examples

./ChopChopGo # Defaults to searching through auditd
./ChopChopGo -target syslog -rules ./rules/linux/builtin/syslog/ # This searches through syslog with the official sigma rules
./ChopChopGo -target journald -rules ./rules/linux/builtin/ # This searches through journald with specified rules

Alternative Output Formats

You may wish to use ChopChopGo in an automated fashion. The CSV and JSON output options are useful for this purpose. With both of these options, the header and progress statistics are not printed to the console.

Each option can be specified using the -out parameter.

CSV
./ChopChopGo -target sylog -rules ./rules/linux/builtin/syslog/ -out csv # This searches through syslog with the official sigma rules, then outputs the data in CSV format
JSON
./ChopChopGo -target syslog -rules ./rules/linux/builtin/syslog/ -out json # This searches through syslog with the official sigma rules, then outputs the data as JSON

More Repositories

1

Cobalt-Strikeout

C
1
star
2

dependency_mapper

TypeScript
1
star
3

Chimera

C
1
star