corelight/zeek-caldera-detectorZeek ベースの Mitre Caldera 検出器。
zeek-caldera-detector は、Caldera ビーコンとエージェントのダウンロードを検出するための Zeek ベースのパッケージです。Sandcat、Ragdoll、Manx などの Caldera C2 フレームワークに関連する不審なアクティビティを特定するように設計されています。
このパッケージは、HTTP トラフィックの監視、ビーコンパターンの検出、および事前定義されたインジケータに基づく不審なファイルダウンロードの識別のための堅牢なメカニズムを提供します。
Sandcat、Ragdoll、Manx) を検出します。sandcat.go、manx.go、ragdoll.py) を追跡します。このモジュールは、検出に以下のメカニズムを使用します。
提供されている testing/Traces ディレクトリ内の sandcat.pcap をこのロジックで実行すると、以下のアラートが生成されます。
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2025-01-22-21-21-11
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1734546921.034784 CHhAvVGS1DHFjwGM9 172.18.0.3 58326 172.18.0.2 8888 - - - tcp Caldera::SuspiciousFileDownload Caldera file download detected: file 'sandcat.go', platform 'linux', User-Agent 'curl/7.68.0' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1734546938.807708 C4J4Th3PJpwUYZZ6gc 172.18.0.3 35540 172.18.0.2 8888 - - - tcp Caldera::C2Detected Potential Sandcat beacon detected to /beacon with User-Agent 'Go-http-client/1.1' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2025-01-22-21-21-11
貢献を歓迎します! バグ修正、機能拡張、新機能の提案については、issue を開くかプルリクエストを送信してください。
このプロジェクトは MIT ライセンスの下でライセンスされています。詳細については、COPYING ファイルを参照してください。