Corelight::PE_XOR

إضافة Zeek لاكتشاف وفك تشفير ملفات ويندوز التنفيذية (EXEs) المُعمّاة بـ XOR.

سيتم اكتشاف المفتاح المستخدم لتشفير الملف بـ XOR تلقائيًا واستخدامه لإعادة الملف إلى نسخته الأصلية القابلة للتنفيذ في ويندوز. وبمجرد فك تشفير الملف، يُمرَّر مرة أخرى إلى إطار عمل تحليل الملفات لمزيد من التحليل.

التثبيت

من المصدر

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

الآن تأكد من أن Zeek يمكنه رؤيته:

.. code:: bash

zeek -N | grep Corelight

الاستخدام

الإشعارات

Corelight::XOR_Encrypted_PE_File_Seen - سيتم إنشاء هذا الإشعار عندما يتم اكتشاف ملف ويندوز تنفيذي مشفر بـ XOR.