Corelight::PE_XOR

Plugin de Zeek para detectar y descifrar ejecutables de Windows ofuscados con XOR.

La clave utilizada para aplicar XOR al archivo se descubrirá automáticamente y se usará para aplicar XOR al archivo y devolverlo al ejecutable original de Windows. Una vez que el archivo se desofusca, se devuelve al framework de análisis de archivos para su posterior análisis.

Instalación

Desde el código fuente

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

Ahora confirma que Zeek puede verlo:

.. code:: bash

zeek -N | grep Corelight

Uso

Notificaciones

Corelight::XOR_Encrypted_PE_File_Seen - Esta notificación se generará cuando se descubra un ejecutable de Windows ofuscado con XOR.