zeek-caldera-detector

zeek-caldera-detector é um pacote baseado em Zeek para detetar beacons e downloads de agentes do Caldera. Foi concebido para identificar atividades suspeitas associadas a frameworks C2 do Caldera, incluindo Sandcat, Ragdoll e Manx.

Este pacote fornece mecanismos robustos para monitorizar tráfego HTTP, detetar padrões de beacon e identificar downloads de ficheiros suspeitos com base em indicadores predefinidos.

Funcionalidades

• Deteção de C2 do Caldera:
  • Deteta beacons HTTP (Sandcat, Ragdoll e Manx) com base em caminhos de URI únicos e strings de User-Agent.
  • Reconhece atividades C2 do Manx baseadas em TCP e UDP usando assinaturas do Zeek.
• Deteção de Downloads de Ficheiros Suspeitos:
  • Rastreia nomes de ficheiros suspeitos (ex.: sandcat.go, manx.go, ragdoll.py) em cabeçalhos HTTP.
  • Gera alertas quando estes ficheiros são descarregados, incluindo informações de plataforma e User-Agent.

Como Funciona

O módulo utiliza os seguintes mecanismos para deteção:

1. Cabeçalhos e Mensagens HTTP:
   • Monitoriza cabeçalhos e payloads HTTP para indicadores de atividade do Caldera.
   • Verifica nomes de ficheiros, plataformas e strings de User-Agent específicos no tráfego de downloads.
2. Assinaturas do Zeek:
   • Identifica atividade C2 em TCP e UDP com base em padrões de payload no tráfego de rede.
   • Inclui suporte para deteção de comandos C2 ativos e de respostas.

Exemplo

Executar o sandcat.pcap fornecido no diretório testing/Traces através desta lógica produz os seguintes alertas:

#separator \x09
#set_separator	,
#empty_field	(empty)
#unset_field	-
#path	notice
#open	2025-01-22-21-21-11
#fields	ts	uid	id.orig_h	id.orig_p	id.resp_h	id.resp_p	fuid	file_mime_type	file_desc	proto	note	msg	sub	src	dst	p	n	peer_descr	actions	email_dest	suppress_for	remote_location.country_code	remote_location.region	remote_location.city	remote_location.latitude	remote_location.longitude
#types	time	string	addr	port	addr	port	string	string	string	enum	enum	string	string	addr	addr	port	count	string	set[enum]	set[string]	interval	string	string	string	double	double
1734546921.034784	CHhAvVGS1DHFjwGM9	172.18.0.3	58326	172.18.0.2	8888	-	-	-	tcp	Caldera::SuspiciousFileDownload	Caldera file download detected: file 'sandcat.go', platform 'linux', User-Agent 'curl/7.68.0'	-	172.18.0.3	172.18.0.2	8888	-	-	Notice::ACTION_LOG	(empty)	3600.000000	-	-	-	-	-
1734546938.807708	C4J4Th3PJpwUYZZ6gc	172.18.0.3	35540	172.18.0.2	8888	-	-	-	tcp	Caldera::C2Detected	Potential Sandcat beacon detected to /beacon with User-Agent 'Go-http-client/1.1'	-	172.18.0.3	172.18.0.2	8888	-	-	Notice::ACTION_LOG	(empty)	3600.000000	-	-	-	-	-
#close	2025-01-22-21-21-11

Contribuir

As contribuições são bem-vindas! Por favor, abra uma issue ou envie um pull request para correções de erros, melhorias ou sugestões de novas funcionalidades.

Licença

Este projeto está licenciado sob a Licença MIT. Consulte o ficheiro COPYING para obter mais detalhes.