Corelight::PE_XOR

Zeek-Plugin zum Erkennen und Entschlüsseln von XOR-verschleierten Windows-EXEs.

Der zum XOR-Verschlüsseln der Datei verwendete Schlüssel wird automatisch ermittelt und verwendet, um die Datei zurück in die ursprüngliche Windows-EXE zu XOR-entschlüsseln. Sobald die Datei entschlüsselt ist, wird sie zur weiteren Analyse an das Dateianalyse-Framework zurückgegeben.

Installation

Aus dem Quellcode

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

Überprüfen Sie nun, ob Zeek es erkennen kann:

.. code:: bash

zeek -N | grep Corelight

Verwendung

Hinweise

Corelight::XOR_Encrypted_PE_File_Seen - Dieser Hinweis wird erzeugt, wenn eine XOR-verschlüsselte Windows-EXE entdeckt wird.