corelight/detect-ransomware-filenamesScript de Zeek que monitoriza el tráfico SMB y alerta sobre nombres de archivo de ransomware conocidos utilizando la lista de Anti-Ransomware File System Resource Manager.
Este paquete/script supervisa las transacciones SMB para buscar nombres de archivo maliciosos conocidos que el ransomware suele utilizar. Se basa en las listas de Anti-Ransomware File System Resource Manager mantenidas aquí.
Se incluye un script de Python (download-list.py) para poder actualizar la lista periódicamente. Por defecto, descargará el nuevo archivo a la carpeta inputs/.
Este paquete está disponible a través de zkg; sin embargo, como tiene dos partes (el script y el archivo de entrada), a menudo es mejor instalarlo manualmente.
Para Zeek, coloque el script scripts/check-for-ransomware-filenames.zeek y el archivo inputs/fsrm_patterns_for_zeek.tsv juntos en un directorio, y luego edite su archivo local.zeek para agregar una línea como la siguiente:
@load /path/to/check-for-ransomware-filenames.zeek
Para un dispositivo Corelight, use zkg para agregar este repositorio a un bundle personalizado, junto con cualquier otro paquete personalizado que desee cargar. Use corelight-client para instalar este bundle.
Luego, use corelight-client para cargar el archivo de entrada, así:
corelight-client -b <sensor IP> bro input upload --name fsrm_patterns_for_zeek.tsv --file fsrm_patterns_for_zeek.tsv
El script genera notificaciones como las siguientes:
{
"_path": "notice",
"_system_name": "bas-cl-swsensor-01",
"_write_ts": "2020-04-27T21:40:10.494579Z",
"_node": "worker-02",
"ts": "2020-04-27T21:40:10.494579Z",
"uid": "CNhUff2G2TzzRoQi45",
"note": "Ransomware::KnownBadFilename",
"msg": "Detected potential ransomware! Known bad file name: test3.hj36MM in use by client 10.0.2.51 on file server 172.16.4.66",
"src": "10.0.2.51",
"dst": "172.16.4.66",
"peer_descr": "worker-02",
"actions": [
"Notice::ACTION_LOG"
],
"suppress_for": 3600
}
Si/cuando reciba una notificación, investigue, idealmente lo más rápido posible.
Por favor, lea el archivo de licencia aquí para obtener información sobre la licencia de este software.