C2 de Malware Linux 'RedXOR' - um exemplo de detecção

Este pacote serve como uma demonstração de como o Zeek pode ser usado para detectar o backdoor Linux "redXOR" usando métodos baseados em estado.

Referências:

• Blog da Corelight
• https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

Detectar ameaças em um nível mais baixo do que os IOCs tradicionais (por exemplo, IPs de C2, domínios e URIs) proporciona uma detecção mais robusta. Isso é importante, porque quaisquer alterações nesses fatores tradicionais (domínio/IP/URI etc.) são frequentes e facilmente feitas pelo ator da ameaça, o que faz com que detecções simples baseadas em IOC falhem. Outro benefício de usar lógica de detecção comportamental de nível mais baixo (como a fornecida neste pacote) é que elas são muito menos propensas a falsos positivos.

A lógica de detecção usada nesta demonstração envolve a busca por um padrão consecutivo de transações de Cookie. Isso exige uma abordagem com estado - perfeitamente adequada ao mecanismo de detecção orientado a eventos do Zeek.

Existem várias outras maneiras de detectar esse malware com o Zeek. Este script foi preparado como uma demonstração em estilo de tutorial de uma dessas técnicas, escolhida por destacar como a manutenção de estado do Zeek pode ser usada de uma forma bastante intuitiva e prática para detectar malware C2 moderno.

Crédito à Intezer pela pesquisa sobre o RedXOR; consulte este write-up para uma descrição de baixo nível do malware. https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/

O script foi preparado a partir de uma abstração do pcap real, que não pôde ser compartilhado em seu formato nativo devido a informações sensíveis contidas nele. Esta abstração foi preparada pela equipe de pesquisa da Intezer e compartilhada com o Corelight Labs com o objetivo de escrever esta demonstração.