corelight/detect-ransomware-filenamesScript do Zeek que monitora o tráfego SMB e alerta sobre nomes de arquivos de ransomware conhecidos usando a lista do Gerenciador de Recursos do Sistema de Arquivos Anti-Ransomware.
Este pacote/script monitora transações SMB para procurar nomes de arquivos maliciosos conhecidos que o ransomware costuma usar. Ele se baseia nas listas do Anti-Ransomware File System Resource Manager mantidas aqui.
Um script Python (download-list.py) está incluído para permitir atualizar a lista periodicamente. Por padrão, ele baixará o novo arquivo para a pasta inputs/.
Este pacote está disponível via zkg, porém, como tem duas partes (o script e o arquivo de entrada), muitas vezes é melhor instalá-lo manualmente.
Para Zeek, coloque o script scripts/check-for-ransomware-filenames.zeek e o arquivo inputs/fsrm_patterns_for_zeek.tsv em um mesmo diretório e, em seguida, edite o seu arquivo local.zeek para adicionar uma linha como a seguinte:
@load /path/to/check-for-ransomware-filenames.zeek
Para um appliance Corelight, use zkg para adicionar este repositório a um bundle personalizado, com quaisquer outros pacotes personalizados que você queira carregar. Use corelight-client para instalar esse bundle.
Em seguida, use corelight-client para carregar o arquivo de entrada, da seguinte forma:
corelight-client -b <sensor IP> bro input upload --name fsrm_patterns_for_zeek.tsv --file fsrm_patterns_for_zeek.tsv
O script gera notificações como a seguinte:
{
"_path": "notice",
"_system_name": "bas-cl-swsensor-01",
"_write_ts": "2020-04-27T21:40:10.494579Z",
"_node": "worker-02",
"ts": "2020-04-27T21:40:10.494579Z",
"uid": "CNhUff2G2TzzRoQi45",
"note": "Ransomware::KnownBadFilename",
"msg": "Detected potential ransomware! Known bad file name: test3.hj36MM in use by client 10.0.2.51 on file server 172.16.4.66",
"src": "10.0.2.51",
"dst": "172.16.4.66",
"peer_descr": "worker-02",
"actions": [
"Notice::ACTION_LOG"
],
"suppress_for": 3600
}
Se/quando você receber uma notificação, investigue, idealmente o mais rápido possível!
Leia o arquivo de licença aqui para obter informações sobre a licença deste software.