Corelight::PE_XOR

Плагин Zeek для обнаружения и дешифрования XOR-обфусцированных Windows-исполняемых файлов.

Ключ, использованный для XOR-шифрования файла, будет автоматически обнаружен и использован для обратного XOR-преобразования файла в исходный исполняемый файл Windows. После деобфускации файл передаётся обратно в фреймворк анализа файлов для дальнейшего анализа.

Установка

Из исходников

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

Теперь убедитесь, что Zeek видит его:

.. code:: bash

zeek -N | grep Corelight

Использование

Уведомления

Corelight::XOR_Encrypted_PE_File_Seen — Это уведомление будет сгенерировано, когда обнаружен XOR-зашифрованный исполняемый файл Windows.