corelight/redxorRilevamento del malware Linux C2 RedXOR - dimostrazione
Questo pacchetto serve come dimostrazione di come Zeek possa essere utilizzato per rilevare il backdoor Linux "redXOR" usando metodi basati sullo stato.
Riferimenti:
Rilevare le minacce a un livello più basso rispetto ai tradizionali IOC (es. IP C2, domini e URI) rende il rilevamento più robusto. Questo è importante, perché qualsiasi modifica a questi fattori tradizionali (dominio/IP/URI ecc.) viene spesso e facilmente apportata dall'attaccante e questo fa sì che i semplici rilevamenti basati su IOC falliscano. Un altro vantaggio dell'uso di logiche di rilevamento comportamentale di livello inferiore (come quelle fornite in questo pacchetto) è che sono molto meno soggette a falsi positivi.
La logica di rilevamento che usiamo in questa dimostrazione prevede la ricerca di un pattern consecutivo di transazioni Cookie. Questo richiede un approccio stateful, che si adatta perfettamente al motore di rilevamento guidato dagli eventi di Zeek.
Esistono vari altri modi per rilevare questo malware con Zeek. Questo script è stato preparato come dimostrazione in stile tutorial di una di queste tecniche, scelta perché evidenzia come la gestione dello stato di Zeek possa essere usata in modo abbastanza intuitivo e pratico per rilevare i moderni malware C2.
Credito a Intezer per la loro ricerca su RedXOR; fare riferimento a questo writeup per una descrizione di basso livello del malware.
https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/
Lo script è stato preparato da un'astrazione del pcap reale, che non poteva essere condiviso nel suo formato nativo a causa delle informazioni sensibili in esso contenute. Questa astrazione è stata preparata dal team di ricerca di Intezer e condivisa con Corelight Labs allo scopo di scrivere questa dimostrazione.
I marcatori rossi nel diagramma seguente mostrano ad alto livello la logica di rilevamento basata sullo stato impiegata dallo script. Inoltre, lo script stesso è pesantemente commentato, per descrivere le ragioni e il ragionamento alla base di alcuni degli aspetti più tecnici.
(Credito screenshot wireshark originale: Intezer)
