11 matches found
CVE-2020-16898-Bad-Neighbor
CVE-2020-16898: Bad Neighbor を検出するシンプルなポリシー スクリプトによって提供される機能は以下のとおりです :: 1 Script checks on heuristic described here: https://www.mcafee.com/blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor/ インストール root@kitploit: zeek-pkg install zeek/initconf/CVE-2020-16898-Bad-Neighbor or @load...
pingback
Pingback C2 検出 Pingback C2 ツールによって作成された ICMP ping トンネルを検出するための Zeek パッケージと Suricata ルールです。 関連ブログ記事: https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/ インストール このパッケージをインストールする最も簡単な方法は、zkg を使用することです: zkg install corelight/pingback 使用方法 このサンプルPCAP を使用すると、以下のように実行できます: root@kitploit: ...
CVE-2021-38647-noimages
CVE-2021-38647 別名「OMIGOD」 CVE-2021-38647（別名 OMIGOD）のエクスプロイト試行を検出する Zeek パッケージです。 https://corelight.com/blog/detecting-cve-2021-38647-omigod https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647 エクスプロイト...
CVE-2020-5902-F5BigIP
CVE-2020-5902（F5 BIG-IP デバイス） 概要: CVE-2020-5902（F5 Networks BIG-IP デバイスに影響を与える CVE10.0 の脆弱性）に対する Zeek 検出パッケージです。 参考文献: https://corelight.blog/2020/07/28/zeek-in-its-sweet-spot-detecting-f5s-big-ip-cve10-cve-2020-5902/ https://support.f5.com/csp/article/K52145254...
SIGRed
CVE-2020-1350 別名 SIGRed v0.30 概要: CVE-2020-1350 別名 SIGRed - CVE スコア 10.0 を介して Microsoft Windows DNS サーバーを悪用しようとする試みを検出するための Zeek パッケージ。 参照: https://research.checkpoint.com/2020/resolving-your-way-into-domain-admin-exploiting-a-17-year-old-bug-in-windows-dns-servers/...
CVE-2021-31166
CVE-2021-31166 CVE-2021-31166（HTTP プロトコルスタックの脆弱性）の悪用試行の検出 Suricata ルール Zeek パッケージ 参照 https://corelight.blog/2021/05/27/detecting-cve-2021-31166-http-vulnerability/ https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31166 https://github.com/0vercl0k/CVE-2021-31166...
cve-2021-1675-printnightmare
简单策略以检测CVE-2021-1675 脚本提供的以下功能 :: 此Zeek包利用pcap及以下工作的成果：https://github.com/LaresLLC/CVE-2021-1675.git root@kitploit: 基于以下事实 安装 root@kitploit: zeek-pkg install zeek/initconf/ 或 @load 详细说明： 详细告警与描述：脚本会生成以下告警： 启发式检测逻辑很简单：检查 1. namedpipe中的\pipe\spoolss 2. endpoint中的spoolss 3...
redxor
Linux 恶意软件 C2 'RedXOR'——一个检测示例 此软件包演示了如何使用 Zeek 以基于状态的方法检测 Linux 后门 "redXOR"。 参考链接： Corelight 博客 https://www.intezer.com/blog/malware-analysis/new-linux-backdoor-redxor-likely-operated-by-chinese-nation-state-actor/ 在比传统 IOC（例如 C2 IP、域名和 URI）更低的层级检测威胁，能实现更稳健的检测。这很重要，因为威胁行为者往往可轻松修改这些传统因素（域名/IP/URI...
zerologon
Zerologon 摘要 一个 Zeek 检测包，用于检测 CVE-2020-1472（也称为 Zerologon）， 这是一个针对 Windows Server 域控制器 Netlogon 协议的 CVSS 10.0 权限提升漏洞。 通知 默认情况下，两种通知都会被触发： ZerologonAttempt 表示在短时间内进行了所需次数的登录尝试。 ZerologonPasswordChange 表示上述情况发生，并且密码更改成功。 在 cluster.zeek 中，通过 redef 将 noticeonexploitonly 设为 T 后，将仅生成...
cve-2020-13777
Zeek テストスクリプト CVE-2020-13777 このスクリプトは、サーバーが CVE-2020-13777 に対して脆弱である可能性があるかどうかを確認するための簡単なテストを実行します。 CVE-2020-13777 は GnuTLS に暗号化されていないセッションチケットを作成させます。これは、gnutls が keyname をゼロに設定するかどうかを確認することで検出できるようです。このために、セッションチケットの最初の 16 バイトを使用します。このスクリプトは以下をチェックします: サーバーが不審なセッションチケットを送信する...
