4 publicações marcadas com esta tag.
A Netresec analisou uma campanha em que VBScripts maliciosos, distribuídos por mensagens diretas do WhatsApp, instalavam a ferramenta legítima de RMM Ping32 (Shandong Anzai) como estágio intermediário para entregar o ValleyRAT. A análise de tráfego de rede identificou o protocolo customizado Gh0stKCP sobre UDP usado pelo C2 do malware.
Fonte ↗A ferramenta de interceptação TLS PolarProxy, usada para gerar PCAPs de tráfego decifrado para análise forense de rede, recebeu uma atualização focada em confiabilidade: corrige um bug que corrompia pacotes no PCAP de saída e falhas que podiam travar conexões não-TLS. A versão também reduz o consumo de memória e passa a priorizar a integridade da captura sobre a velocidade bruta do proxy.
Fonte ↗A nova versão do CapLoader, ferramenta de análise de tráfego PCAP do Netresec, passa a armazenar em cache e remontar handshakes TLS Client Hello fragmentados em múltiplos segmentos — cenário cada vez mais comum com Encrypted Client Hello (ECH) e troca de chaves pós-quântica —, o que evita perder a extração de fingerprints JA3/JA4 usados para identificar clientes maliciosos. A versão também adiciona correlação automática contra uma plataforma de threat intel e suporte a mais protocolos de encapsulamento de rede.
Fonte ↗A Netresec lançou o FlowCarp, uma ferramenta de linha de comando que identifica o protocolo de aplicação em capturas de rede a partir de medições estatísticas do fluxo — sem usar número de porta, assinaturas estáticas ou parsers de protocolo. A abordagem reconhece até protocolos proprietários e canais de C2 de malware, como o do Mirai, que costumam escapar de IDS baseados em assinatura. A saída segue o formato Suricata Eve JSON (ou CSV), o que facilita encaixar a ferramenta no fluxo de análise pericial de tráfego.
Fonte ↗