BerrySentinel - Berry Sentinel v5.0 — Advanced behavioral C2 and r

项目说明

🫐 Berry Sentinel

Detector conductual de conexiones C2 (Command & Control) en tiempo real

Zero-signature · Bulletproof Collection · Deep Scan · Kill Engine

![Python 3.8+]()
![Platform]()

---

¿Qué es?

Berry Sentinel monitorea todas las conexiones de red activas en tu sistema y analiza el comportamiento de los procesos que las generan para detectar actividad maliciosa — sin usar bases de datos de firmas de antivirus ni listas de IPs bloqueadas.

Detecta reverse shells, webshells, RATs, beacons C2 y frameworks como Meterpreter, Cobalt Strike, Sliver o Empire observando cómo se comporta un proceso: si un intérprete de Python tiene su stdin conectado a un socket remoto, eso es sospechoso aunque la IP sea desconocida.

---

Características

---

Instalación

Android / Termux

Sin instalación (one-liner)

---

Uso

Ejemplos

---

Teclas del TUI interactivo

| Tecla | Acción |
|-------|--------|
| ↑ / ↓ | Navegar entre conexiones |
| d / D | de detalles de la conexión seleccionada |
| k / K | Matar proceso (pide confirmación del PID) |
| f / F | Ciclar filtro de se: ALL → MEDIO → ALTO → CRÍTICO |
| r | Forzar refresco inmediato |
| ESC | Cerrar panel de detalles o cancelar operación |
| q | Salir |

---

Sistema de puntuación

Cada conexión recibe un score de 0 a 100 según los indicadores detectados:

| Indicador | Puntos | Tag |
|-----------|--------|-----|
| stdin/stdout → socket | +55 | FD→SOCK |
| Shell binario con conexión remota | +40 | SHELL→NET |
| Webshell (shell como hijo de Apache/Nginx) | +35 | WEBSHELL |
| Bind shell en puerto alto | +35 | BIND-SHELL |
| Uso de netcat/socat | +35 | NETCAT |
| Redirección /dev/tcp o mkfifo | +40 | PIPE-REDIR |
| Ejecutable borrado del disco | +25 | EXE-DEL! |
| Ejecutable en /tmp o /dev/shm | +15 | EXE-TMP |
| Beacon detectado (conexión cíclica) | +25×conf | BCN(60s) |
| Firma Meterpreter | +55 | SIG:Meterpreter |
| Firma Cobalt Strike | +60 | SIG:CobaltStrike |
| Firma Sliver | +58 | SIG:Sliver |
| Regiones de memoria RWX | +20 | RWX(N) |
| LD_PRELOAD o HISTFILE=/dev/null | +10 | EN |
| Intérprete de scripts conectado | +25 | INTERP→NET |
| eval/exec en línea de comandos | +18 | EVAL |
| PowerShell remoto (IEX, DownloadString) | +30 | PS-REM |

Se según score:

| Score | Se | Color |
|-------|-----------|-------|
| ≥ 65 | CRÍTICO | 🔴 Rojo brillante |
| ≥ 45 | ALTO | 🟠 Naranja |
| ≥ 25 | MEDIO | 🟡 Amarillo |
| ≥ 8 | BAJO | 🔵 Cyan |
| < 8 | INFO | ⚪ Gris |

---

Frameworks C2 detectados

Berry Sentinel incluye firmas para los siguientes frameworks (eón por puertos, nombre de proceso, línea de comandos y patrones de beacon):

| Framework | Score bonus | Indicadores clave |
|-----------|------------|-------------------|
| Meterpreter | +55 | Puerto 4444, proceso ruby/msfconsole |
| Cobalt Strike | +60 | Puerto 50050, beacon ~60s, proceso java |
| Sliver | +58 | Puerto 31337/8888, beacon ~60s |
| Empire | +55 | Puerto 1234/7777, PowerShell -enc |
| Brute Ratel | +62 | Puerto 2083, proceso badger |
| Havoc | +58 | Puerto 40056, demon.x64/x86 |
| Pupy RAT | +52 | Puerto 9999, pupy.py |
| Merlin | +54 | Puerto 8443, merlin-agent |
| Co | +54 | Puerto 7443, GruntHTTP |
| PoshC2 | +52 | FComServer, ImplantCore |
| Mythic | +56 | Puerto 7443, poseidon/apfell |
| QuasarRAT | +50 | Puerto 4782-4785 |
| NetcatShell | +45 | socat exec bash, pty |
| DNS-C2 | +40 | Puerto 53, dnscat/iodine |

---

Formato de log (JSONL)

Cada alerta se registra como una línea JSON independiente:

Procesar con jq:

---

Arquitectura

---

Requisitos

Sin dependencias adicionales la herramienta funciona con la stdlib de Python. psutil añade cobertura en macOS y Windows donde /proc no existe.

---

Plataformas

| Sistema | Soporte | Notas |
|---------|---------|-------|
| Linux | ✅ Completo | Con root activa deep scan |
| Android/Termux | ✅ Completo | Usa --no-tui si curses falla |
| macOS | ⚠️ Parcial | Sin /proc; usa netstat+psutil |
| Windows | ⚠️ Parcial | netstat+psutil, sin análisis de memoria |

---

Personalización

Añadir firma C2 propia

Usar como librería en un script

Motor de análisis personalizado

---

Ad de uso responsable

Berry Sentinel está diseñado para monitorear tu propio sistema o sistemas sobre los que tienes autorización explícita. El Kill Engine solo actúa cuando el usuario lo solicita explícitamente. Úsalo de forma responsable y de acuerdo con las leyes aplicables en tu jurisdicción.

---

Licencia

MIT — ver LICENSE

项目信息

开发语言：Python

Star 数：13

技术要点

该项目属于防护思路方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕Berry Sentinel v5.0 — Advanced behavioral C2 and reverse shell detector for Linux/Windows/Unix systems. Features real-time connection analysis, heuristic scoring, C2 framework signature detection, beacon interval analysis, and an interactive curses-based TUI with process kill engine.展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。