corelight/detect-ransomware-filenamesZeek-Skript, das den SMB-Verkehr überwacht und mithilfe der Anti-Ransomware-Dateisystem-Ressourcenmanager-Liste vor bekannten Ransomware-Dateinamen warnt.
Dieses Paket/Skript überwacht SMB-Transaktionen, um nach bekannten schädlichen Dateinamen zu suchen, die von Ransomware bekanntermaßen verwendet werden. Es basiert auf den Anti-Ransomware-Dateisystem- Ressourcenmanager-Listen, die hier gepflegt werden.
Ein Python-Skript (download-list.py) ist enthalten, um die Liste in regelmäßigen Abständen
aktualisieren zu können. Standardmäßig lädt es die neue Datei in den Ordner inputs/ herunter.
Dieses Paket ist über zkg verfügbar, aber da es aus zwei Teilen besteht (dem Skript und der
Eingabedatei), ist es oft besser, es manuell zu installieren.
Platziere für Zeek das Skript scripts/check-for-ransomware-filenames.zeek und die Datei
inputs/fsrm_patterns_for_zeek.tsv zusammen in einem Verzeichnis und bearbeite dann deine
-Datei, um eine Zeile wie die folgende hinzuzufügen:
local.zeek@load /path/to/check-for-ransomware-filenames.zeek
Verwende für ein Corelight-Gerät zkg, um dieses Repository zu einem benutzerdefinierten Bundle
hinzuzufügen, zusammen mit allen anderen benutzerdefinierten Paketen, die du laden möchtest. Verwende
corelight-client, um dieses Bundle zu installieren.
Verwende dann corelight-client, um die Eingabedatei zu laden, wie folgt:
corelight-client -b <sensor IP> bro input upload --name fsrm_patterns_for_zeek.tsv --file fsrm_patterns_for_zeek.tsv
Das Skript erzeugt Notices wie die folgende:
{
"_path": "notice",
"_system_name": "bas-cl-swsensor-01",
"_write_ts": "2020-04-27T21:40:10.494579Z",
"_node": "worker-02",
"ts": "2020-04-27T21:40:10.494579Z",
"uid": "CNhUff2G2TzzRoQi45",
"note": "Ransomware::KnownBadFilename",
"msg": "Detected potential ransomware! Known bad file name: test3.hj36MM in use by client 10.0.2.51 on file server 172.16.4.66",
"src": "10.0.2.51",
"dst": "172.16.4.66",
"peer_descr": "worker-02",
"actions": [
"Notice::ACTION_LOG"
],
"suppress_for": 3600
}
Wenn du eine Notice erhältst, untersuche den Vorfall, idealerweise so schnell wie möglich!
Bitte lies die Lizenzdatei hier für Informationen über die Lizenz dieser Software.