corelight/zeek-asyncrat-detectorكاشف برمجية AsyncRAT الخبيثة استنادًا إلى Zeek.
غالبًا ما تُخفي البرمجيات الخبيثة اتصالاتها مع خادم القيادة والتحكم (C2) عبر HTTPS. عادةً ما يُخفي التشفير في HTTPS الاختراق لفترة كافية تمكن البرمجية الخبيثة من تحقيق هدفها. وهذا يجعل اكتشاف البرمجيات الخبيثة التي تستخدم HTTPS أمرًا صعبًا، ولكن بين الحين والآخر قد تسنح لك الفرصة، كما في الحالة هنا مع AsyncRAT، وهي أداة وصول بعيد لنظام Windows تم نشرها خلال العام الماضي لاستهداف المؤسسات التي تدير البنية التحتية الحيوية في الولايات المتحدة.
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2024-03-12-13-19-10
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1709051041.876652 CLNN1k2QMum1aexUK7 192.168.100.124 49207 181.131.218.39 4041 - - - tcp AsyncRAT::C2_Traffic_Observed Potential AsyncRAT C2 discovered via a default SSL certificate. Cert Fingerprints: [ce772ec37d88351f43e6350c6c2b9777c9a7855f2a55184fba784e5e7df9e3eb] Issuer: CN=AsyncRAT Server 192.168.100.124 181.131.218.39 4041 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2024-03-12-13-19-10
يمكنك العثور على قواعد Suricata في دليل "suri".