corelight/zeek-caldera-detectorДетектор Mitre Caldera на основе Zeek.
zeek-caldera-detector — это пакет на основе Zeek для обнаружения маяков (beacons) Caldera и загрузок агентов. Он предназначен для выявления подозрительной активности, связанной с C2-фреймворками Caldera, включая Sandcat, Ragdoll и Manx.
Этот пакет предоставляет надёжные механизмы для мониторинга HTTP-трафика, обнаружения паттернов маяков и выявления подозрительных загрузок файлов на основе заданных индикаторов.
Sandcat, Ragdoll и Manx) на основе уникальных путей URI и строк User-Agent.sandcat.go, manx.go, ragdoll.py) в HTTP-заголовках.Модуль использует следующие механизмы для обнаружения:
Запуск предоставленного файла sandcat.pcap из каталога testing/Traces через эту логику приводит к следующим оповещениям:
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2025-01-22-21-21-11
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1734546921.034784 CHhAvVGS1DHFjwGM9 172.18.0.3 58326 172.18.0.2 8888 - - - tcp Caldera::SuspiciousFileDownload Caldera file download detected: file 'sandcat.go', platform 'linux', User-Agent 'curl/7.68.0' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1734546938.807708 C4J4Th3PJpwUYZZ6gc 172.18.0.3 35540 172.18.0.2 8888 - - - tcp Caldera::C2Detected Potential Sandcat beacon detected to /beacon with User-Agent 'Go-http-client/1.1' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2025-01-22-21-21-11
Вклад приветствуется! Пожалуйста, откройте issue или отправьте pull request для исправления ошибок, улучшений или предложений новых функций.
Этот проект лицензирован под лицензией MIT. Подробности см. в файле COPYING.