CAPE-parsers

Парсеры ядра и сообщества CAPE

Структура конфигураций

CNCs: []
campaign: str
botnet: str
dga_seed: hex str
version: str
mutex: str
user_agent: str
build: str
cryptokey: str
cryptokey_type: str (algorithm). Ex: RC4, RSA public key. salsa20, (x)chacha20
raw: {any other data goes here}

• Все записи CNC должны быть в формате URL, т.е. <schema>://<hostname>:<port>/<uri>
  • Примеры схем: tcp://, ftp://, udp://, http(s) и т.д.
  • Старые конфигурации CAPE по-прежнему не имеют такой структуры, так как большинство из них относятся к мёртвым семействам.
  • Такое упрощение CNC упрощает разбор с помощью таких инструментов, как tldextract или urlparse.