doublepulsar-c2-traffic-decryptor

作者：Luke Jennings [email protected] - @jukelennings 公司：Countercept @countercept 网站：https://countercept.com 一个用于从PCAP文件中解密DOUBLEPULSAR SMB植入程序C2流量的python2脚本。使用的加密是简单的4字节XOR，你经常可以在FUZZBUNCH工具集的命令输出中看到这一点。该脚本利用了这样一个事实：在第一个非ping数据包的SESSIONSETUP参数中存在一组四个连续的零，这直接揭示了XOR密钥，并用于解密所有流量。...