================= Corelight::PE_XOR

Plugin Zeek para detectar e descriptografar EXEs do Windows ofuscados por XOR.

A chave usada para aplicar XOR no arquivo será descoberta automaticamente e usada para aplicar XOR ao arquivo de volta ao executável original do Windows. Uma vez que o arquivo é desofuscado, ele é passado de volta para o framework de análise de arquivos para análise adicional.

Instalação

A partir do código-fonte

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

Agora confirme que o Zeek consegue vê-lo:

.. code:: bash

zeek -N | grep Corelight

Uso

Notificações

Corelight::XOR_Encrypted_PE_File_Seen - Esta notificação será gerada quando um executável do Windows ofuscado por XOR for descoberto.