search

wagga40 / Zircolite

A standalone SIGMA-based detection tool for EVTX, Auditd and Sysmon for Linux logs
671 stars 91 forks source link

Windows 10 python 3.9.2 error byte 0x8d #15

Closed frack113 closed 2 years ago

frack113 commented 2 years ago

Hello, get a error in in first try.

My step:

D:\FrackSigma\sigma\tools>python sigmac -t sqlite -c config\generic\sysmon.yml -r ..\rules\windows\ -d --backend-option table=logs --output-fields title,id,description,author,tags,level,falsepositives,filename --output-format json -o rules.json

D:\FrackSigma\Zircolite>python zircolite.py -e d:\temp\sysmon_13_rdp_settings_tampering.evtx -r rules.json

    ███████╗██╗██████╗  ██████╗ ██████╗ ██╗     ██╗████████╗███████╗
    ╚══███╔╝██║██╔══██╗██╔════╝██╔═══██╗██║     ██║╚══██╔══╝██╔════╝
      ███╔╝ ██║██████╔╝██║     ██║   ██║██║     ██║   ██║   █████╗
     ███╔╝  ██║██╔══██╗██║     ██║   ██║██║     ██║   ██║   ██╔══╝
    ███████╗██║██║  ██║╚██████╗╚██████╔╝███████╗██║   ██║   ███████╗
    ╚══════╝╚═╝╚═╝  ╚═╝ ╚═════╝ ╚═════╝ ╚══════╝╚═╝   ╚═╝   ╚══════╝
             -= Standalone SIGMA Detection tool for EVTX =-

[+] Checking prerequisites
[+] Extracting EVTX Using 'tmp-DL9G50FQ' directory
100%|██████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 1/1 [00:00<00:00,  1.18it/s]
[+] Processing EVTX
100%|█████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 1/1 [00:00<00:00, 335.22it/s]
[+] Creating model
[+] Inserting data
100%|██████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████████| 20/20 [00:00<00:00, 9170.88it/s]
[+] Cleaning unused objects
[+] Loading ruleset from : rules.json
   [-] Load JSON ruleset failed, are you sure it is a valid JSON file ? : 'charmap' codec can't decode byte 0x8d in position 305265: character maps to <undefined>
[+] Executing ruleset - 0 rules
0it [00:00, ?it/s]
[+] Results written in : detected_events.json
[+] Cleaning

Finished in 0 seconds

D:\FrackSigma\Zircolite>python -V
Python 3.9.2