CAPE-parsers

Parsers core et communauté de CAPE

Structure des configs

CNCs: []
campaign: str
botnet: str
dga_seed: hex str
version: str
mutex: str
user_agent: str
build: str
cryptokey: str
cryptokey_type: str (algorithm). Ex: RC4, RSA public key. salsa20, (x)chacha20
raw: {any other data goes here}

• Toutes les entrées CNC doivent être au format URL, c'est-à-dire <schema>://<hostname>:<port>/<uri>
  • Exemples de schémas : tcp://, ftp://, udp://, http(s), etc.
  • Les anciennes configs CAPE n'ont toujours pas cette structure, car la plupart de ces familles sont mortes.
  • Cette simplification des CNC rend l'analyse plus facile avec des outils comme tldextract ou urlparse.