================= Corelight::PE_XOR

Plugin Zeek pour détecter et déchiffrer les exécutables Windows obfusqués par XOR.

La clé utilisée pour XORer le fichier sera automatiquement découverte et utilisée pour rétablir le fichier en exécutable Windows d'origine. Une fois le fichier désobfusqué, il est renvoyé dans le framework d'analyse de fichiers pour une analyse plus approfondie.

Installation

Depuis les sources

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

Vérifiez maintenant que Zeek peut le voir :

.. code:: bash

zeek -N | grep Corelight

Utilisation

Notifications

Corelight::XOR_Encrypted_PE_File_Seen - Cette notification sera générée lorsqu'un exécutable Windows obfusqué par XOR est découvert.