Corelight::PE_XOR

Zeek 插件，用于检测并解密经过 XOR 混淆的 Windows EXE。

用于对文件进行 XOR 的密钥会被自动发现，并被用于将文件还原为原始的 Windows 可执行文件。文件去混淆后，会被传回文件分析框架进行进一步分析。

安装

从源码安装

.. code:: bash

git clone https://github.com/corelight/zeek-xor-exe-plugin.git cd zeek-xor-exe-plugin ./configure sudo make install

现在确认 Zeek 可以识别它：

.. code:: bash

zeek -N | grep Corelight

用法

通知

Corelight::XOR_Encrypted_PE_File_Seen - 当发现经过 XOR 处理的 Windows 可执行文件时，将生成此通知。