CAPE-parsers

Parser core e della community di CAPE

Struttura dei configs

CNCs: []
campaign: str
botnet: str
dga_seed: hex str
version: str
mutex: str
user_agent: str
build: str
cryptokey: str
cryptokey_type: str (algorithm). Ex: RC4, RSA public key. salsa20, (x)chacha20
raw: {any other data goes here}

• Tutte le voci CNC dovrebbero essere in formato URL, ovvero <schema>://<hostname>:<port>/<uri>
  • Esempi di schema: tcp://, ftp://, udp://, http(s), ecc.
  • Le vecchie configurazioni CAPE mancano ancora di queste strutture poiché la maggior parte di esse sono famiglie estinte.
  • Questa semplificazione dei CNC rende più facile l'analisi con strumenti come tldextract o urlparse.