Corelight::PE_XOR

XOR難読化されたWindows EXEを検出・復号するZeekプラグインです。

ファイルのXORに使用されたキーは自動的に発見され、ファイルを元のWindows実行ファイルへXORで復元するために使用されます。ファイルの難読化が解除されると、さらなる分析のためにファイル分析フレームワークに戻されます。

インストール

ソースから

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

Zeekがそれを認識できることを確認します：

.. code:: bash

zeek -N | grep Corelight

使用方法

通知

Corelight::XOR_Encrypted_PE_File_Seen - この通知は、XORされたWindows実行ファイルが検出されたときに生成されます。