CAPE-parsers

CAPE-Kern- und Community-Parser

Konfigurationsstruktur

CNCs: []
campaign: str
botnet: str
dga_seed: hex str
version: str
mutex: str
user_agent: str
build: str
cryptokey: str
cryptokey_type: str (algorithm). Ex: RC4, RSA public key. salsa20, (x)chacha20
raw: {any other data goes here}

• Alle CNC-Einträge sollten im URL-Format sein, d. h. <schema>://<hostname>:<port>/<uri>
  • Schema-Beispiele: tcp://, ftp://, udp://, http(s), usw.
  • Alte CAPE-Konfigurationen haben diese Strukturen noch nicht, da es sich bei den meisten um tote Familien handelt.
  • Diese CNC-Vereinfachung erleichtert das Parsen mit Tools wie tldextract oder urlparse.