corelight/zeek-asyncrat-detectorДетектор вредоносного ПО AsyncRAT на основе Zeek.
Вредоносное ПО часто скрывает связь со своим сервером управления и контроля (C2) через HTTPS. Шифрование в HTTPS обычно скрывает компрометацию достаточно долго, чтобы вредоносное ПО достигло своей цели. Это делает обнаружение вредоносного ПО, использующего HTTPS, сложной задачей, но иногда вам везёт, как в данном случае с AsyncRAT, инструментом удалённого доступа для Windows, который в течение последнего года развёртывался для нацеливания на организации, управляющие критической инфраструктурой в Соединённых Штатах.
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2024-03-12-13-19-10
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1709051041.876652 CLNN1k2QMum1aexUK7 192.168.100.124 49207 181.131.218.39 4041 - - - tcp AsyncRAT::C2_Traffic_Observed Potential AsyncRAT C2 discovered via a default SSL certificate. Cert Fingerprints: [ce772ec37d88351f43e6350c6c2b9777c9a7855f2a55184fba784e5e7df9e3eb] Issuer: CN=AsyncRAT Server 192.168.100.124 181.131.218.39 4041 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2024-03-12-13-19-10
Правила Suricata можно найти в каталоге «suri».