loki-parse

Un script Python capable de détecter et d'analyser le trafic réseau lié à loki-bot (malware) entre une machine compromise et un serveur C2. Ce script peut être utile aux analystes DFIR et aux chercheurs en sécurité qui souhaitent connaître les données exfiltrées vers le C2, le suivi du bot, etc.

Ce script peut soit sniffer le réseau directement (sans switch), soit lire un PCAP de trafic réseau (avec --pcap $pcap_file). Lorsque le script détecte un trafic réseau lié à loki-bot, il affiche les données contenues dans les paquets au format JSON à l'écran.

Certains paquets contiennent des données exfiltrées qui sont compressées avec aPLib. Le script décompressera ces données et les affichera à l'écran, mais sachez qu'un traitement supplémentaire n'a pas encore été intégré à ce script... POUR L'INSTANT. Cela dit, il est important que vous téléchargiez également le script aplib.py et que vous le placiez dans le même répertoire que loki-parse.py. Ce script est nécessaire pour que loki-parse s'exécute correctement.

Enfin, il y a un problème avec le code utilisé pour sniffer le trafic réseau : la partie données du paquet peut être tronquée. Cela semble lié à la façon dont scapy analyse le trafic. Cela se produira probablement avec des paquets plus volumineux contenant des données compressées. Si cela se produit, la clé de dictionnaire suivante sera créée :

Decompressed Application/Credential Data': 'ERROR: Incomplete Packet Detected

Ce problème ne semble pas se produire avec les PCAP sauvegardés. Si vous rencontrez cette erreur, essayez de sauvegarder le trafic réseau dans un fichier pcap et de réexécuter loki-parse sur ce pcap.

Si le script parvient à décompresser avec succès les données contenues dans le paquet, ces données sont simplement affichées à l'écran (pas au format JSON). Je prévois de traiter ce point dans les versions futures.

J'ai fourni loki-bot_network_traffic.pcap comme exemple de pcap pour vous permettre de tester.

Exemple de sortie

$ sudo ./loki_parse.py

Sniffing PCAPS from the wire