zeek-caldera-detector 是一个基于 Zeek 的软件包，用于检测 Caldera 信标（beacons）和代理下载。它旨在识别与 Caldera C2 框架相关的可疑活动，包括 Sandcat、Ragdoll 和 Manx。
该软件包提供了强大的机制，用于监控 HTTP 流量、检测信标模式以及根据预定义指标识别可疑的文件下载。
Sandcat、Ragdoll 和 Manx）。sandcat.go、manx.go、ragdoll.py）。该模块使用以下机制进行检测：
通过此逻辑运行 testing/Traces 目录中提供的 sandcat.pcap，会产生以下警报：
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2025-01-22-21-21-11
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1734546921.034784 CHhAvVGS1DHFjwGM9 172.18.0.3 58326 172.18.0.2 8888 - - - tcp Caldera::SuspiciousFileDownload Caldera file download detected: file 'sandcat.go', platform 'linux', User-Agent 'curl/7.68.0' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1734546938.807708 C4J4Th3PJpwUYZZ6gc 172.18.0.3 35540 172.18.0.2 8888 - - - tcp Caldera::C2Detected Potential Sandcat beacon detected to /beacon with User-Agent 'Go-http-client/1.1' - 172.18.0.3 172.18.0.2 8888 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2025-01-22-21-21-11
欢迎贡献！请针对错误修复、增强功能或新功能建议提交 issue 或 pull request。
本项目基于 MIT License 许可。有关详细信息，请参阅 COPYING 文件。