corelight/detect-ransomware-filenames
このパッケージ/スクリプトは、ランサムウェアが使用することが知られている不正なファイル名を探すためにSMBトランザクションを監視します。これは、こちらで管理されているAnti-Ransomware File System Resource Manager Listsの上で動作します。
リストを定期的に更新できるように、Pythonスクリプト（download-list.py）が含まれています。デフォルトでは、新しいファイルをinputs/フォルダにダウンロードします。
このパッケージはzkg経由で利用可能ですが、2つの部分（スクリプトと入力ファイル）で構成されているため、手動でインストールする方が良いことがよくあります。
Zeekの場合、scripts/check-for-ransomware-filenames.zeekスクリプトとinputs/fsrm_patterns_for_zeek.tsvファイルを同じディレクトリに配置し、local.zeekファイルを編集して次のような行を追加します。
@load /path/to/check-for-ransomware-filenames.zeek
Corelightアプライアンスの場合、zkgを使用して、このリポジトリをロードしたい他のカスタムパッケージと一緒にカスタムバンドルに追加します。corelight-clientを使用してこのバンドルをインストールします。
次に、corelight-clientを使用してInputファイルをロードします。例：
corelight-client -b <sensor IP> bro input upload --name fsrm_patterns_for_zeek.tsv --file fsrm_patterns_for_zeek.tsv
このスクリプトは次のような通知を生成します。
{
"_path": "notice",
"_system_name": "bas-cl-swsensor-01",
"_write_ts": "2020-04-27T21:40:10.494579Z",
"_node": "worker-02",
"ts": "2020-04-27T21:40:10.494579Z",
"uid": "CNhUff2G2TzzRoQi45",
"note": "Ransomware::KnownBadFilename",
"msg": "Detected potential ransomware! Known bad file name: test3.hj36MM in use by client 10.0.2.51 on file server 172.16.4.66",
"src": "10.0.2.51",
"dst": "172.16.4.66",
"peer_descr": "worker-02",
"actions": [
"Notice::ACTION_LOG"
],
"suppress_for": 3600
}
通知を受け取った場合は、できればできるだけ早く調査してください！
このソフトウェアのライセンスについては、ライセンスファイルこちらをお読みください。