corelight/zeek-caldera-detectorZeek 기반 Mitre Caldera 탐지기.
**zeek-caldera-detector**는 Caldera 비콘 및 에이전트 다운로드를 탐지하기 위한 Zeek 기반 패키지입니다. Sandcat, Ragdoll, Manx를 포함한 Caldera C2 프레임워크와 관련된 의심스러운 활동을 식별하도록 설계되었습니다.
이 패키지는 HTTP 트래픽을 모니터링하고, 비콘 패턴을 탐지하며, 사전 정의된 지표를 기반으로 의심스러운 파일 다운로드를 식별하는 강력한 메커니즘을 제공합니다.
Sandcat, Ragdoll, Manx)을 탐지합니다.sandcat.go, manx.go, ragdoll.py)을 추적합니다.이 모듈은 탐지를 위해 다음 메커니즘을 사용합니다:
제공된 testing/Traces 디렉터리의 sandcat.pcap을 이 로직을 통해 실행하면 다음과 같은 알림이 생성됩니다:
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2025-01-22-21-21-11
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1734546921.034784 CHhAvVGS1DHFjwGM9 172.18.0.3 58326 172.18.0.2 8888 - - - tcp Caldera::SuspiciousFileDownload Caldera file download detected: file 'sandcat.go', platform 'linux', User-Agent 'curl/7.68.0' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1734546938.807708 C4J4Th3PJpwUYZZ6gc 172.18.0.3 35540 172.18.0.2 8888 - - - tcp Caldera::C2Detected Potential Sandcat beacon detected to /beacon with User-Agent 'Go-http-client/1.1' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2025-01-22-21-21-11
기여를 환영합니다! 버그 수정, 개선 사항 또는 새로운 기능 제안을 위해 이슈를 열거나 풀 리퀘스트를 제출해 주세요.
이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 COPYING 파일을 참조하세요.