corelight/zeek-quasarrat-detectorQuasarRat용 Zeek 탐지기
악성코드는 종종 HTTPS를 통해 명령 및 제어(C2) 서버와의 통신을 숨깁니다. HTTPS의 암호화는 일반적으로 악성코드가 목표를 달성할 수 있을 만큼 오랫동안 감염 사실을 은폐합니다. 이로 인해 HTTPS를 사용하는 악성코드 탐지는 어렵지만, 때때로 운이 따라주는 경우가 있습니다. 지난 1년 동안 미국의 중요 인프라를 관리하는 조직을 표적으로 삼아 배포된 Windows 원격 액세스 도구인 QuasarRAT이 바로 그런 사례입니다.
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2024-10-09-18-06-57
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1723831638.402474 CpKJJiDUPEBNMGSC 192.168.100.7 49744 86.136.67.231 1337 - - - tcp QuasarRAT::C2_Traffic_Observed_Cert Potential QuasarRAT C2 - default SSL certificate discovered. - 192.168.100.7 86.136.67.231 1337 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2024-10-09-18-06-57
Suricata 규칙은 "suri" 디렉토리에서 찾을 수 있습니다.