Networkforensic
Threat hunting
Ping 134744072
09 Oktober 2026 - Blog Post # 897
Change IP Format
I forbindelse med en opgave faldt jeg over denne her ping command
"ping 134744072" Den snød mig altså lidt, for jeg ledte efter en
ping fra en host. Men da jeg endelig fandt frem til dem det var det
"CommandLine: ping 134744072" og ikke
en normal læsebar IP adresse jeg fandt. Man skal altså ikke altid
tror, at IP adresser kommer i det velkendte format, de kan også se
anderledes ud. Den kan snyde rigtig meget når man laver detections
til eks SIEM systemer.
Men min Sysmon vil detection vil stadig fange ping
technique_id=T1018,technique_name=Remote System Discovery - ping
Eksemplet her er ændret til en google IP som de fleste kender.
Cyberchef
Med CyberChef
kan man nemt konvertere til et output som i eksemplet her.
Et lille tip er at man kan hente hele CyberChef og køre
det fra en folder på sin egen pc. (Det anbefaler jeg man gør og ikke
bruger dem online) -
Download
Happy hunting
SNORT Rules
Latest updates
PHP2SHELL
Generic based on EHLO validation
EHLO DGA Microsoft IP's
EHLO Detection Rules
EHLO invalid names
EHLO invalid IP
EHLO invalid local domain
Download
Suricata Rules
Latest updates
Masscan scanning
Crypto mining
Sliver
NGROK Tunnels
BIMP-BotNet
Download
Known scanners
Latest
update
81 Different
scanning actors
Download
Sysmon Config
Latest update
Config 182
Download