Corelight::PE_XOR

XOR 난독화된 Windows EXE를 탐지하고 복호화하는 Zeek 플러그인입니다.

파일을 XOR하는 데 사용된 키는 자동으로 발견되어, 해당 키로 파일을 원래의 Windows 실행 파일로 복원합니다. 난독화가 해제된 파일은 추가 분석을 위해 파일 분석 프레임워크로 다시 전달됩니다.

설치

소스에서

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

이제 Zeek가 이를 인식하는지 확인합니다:

.. code:: bash

zeek -N | grep Corelight

사용법

공지

Corelight::XOR_Encrypted_PE_File_Seen - XOR 처리된 Windows 실행 파일이 발견되면 이 공지가 생성됩니다.